Wegen einer Sicherheitslücke sollten Entwickler die Krypto-Bibliothek Libgcrypt in der aktuellen Version 1.9.0 jetzt besser nicht mehr einsetzen.
In seiner Ankündigung warnt der Programmierer Werner Koch vor dem Einsatz dieser verwundbaren Version. Die Bibliothek Libgcrypt wird zum Beispiel bei GnuPG benutzt. Eigentlich ist die Ausgabe 1.9.0 vom 19. Januar 2021 ja noch ziemlich frisch und kommt deshalb auch zum Glück noch nicht flächendeckend zum Einsatz. Laut Koch ist die Krypto-Bibliothek aber aktuell schon in Fedora 34 und Gentoo verfügbar.
Werner Koch warnt vor einem „schweren Fehler“ in der Software. Nähere Angaben zu der Sicherheitslücke machte er aber zunächst noch nicht.
Gestern verkündete Werner Koch in einem Sicherheits-Advisory die Verfügbarkeit der neuen Version Libgcrypt 1.9.1, die einen „kritischen Security-Bug“ beseitigt. Nach der Beschreibung hat der Sicherheitsforscher Tavis Ormandy einen möglichen Pufferüberlauf auf dem Heap in der Software entdeckt. Der lässt sich relativ einfach dafür ausnutzen, Code einzuschleusen und auszuführen zu lassen.
Dazu reicht es aus, dass die betroffene Bibliothek Daten eines Angreifers entschlüsselt. Wer noch Libgcrypt 1.9.0 einsetzt, sollte deshalb dringend einen Update auf die neue Version durchführen.
