Se ha detectado una vulnerabilidad de riesgo alto en la versión 1.9.0 de libgcrypt, utilizado entre otros por la aplicación GnuPG, que permitiría la ejecución remota de código al procesar un fichero especialmente preparado.

La vulnerabilidad, que afecta exclusivamente a la versión 1.9.0 de la librería, fue descubierta el pasado 28 de enero por el investigador Tavis Ormandy, dentro de Project Zero de Google, un programa dedicado a la búsqueda de vulnerabilidades 0-day en aplicaciones y hardware.

Se trata de un desbordamiento de buffer en el heap (zona de memoria que se reserva dinámicamente durante la ejecución de un programa), debido a un cálculo incorrecto del número de bytes a copiar a un buffer de tamaño fijo que, bajo determinadas circunstancias, excede el tamaño máximo y posibilita sobrescribir memoria más allá del mismo.

La complejidad de explotación no es excesivamente alta, dado que en la zona contigua al buffer desbordado se encuentra un puntero a una función que es llamada posteriormente con parámetros conocidos. Una escritura parcial de la misma permite redirigir el flujo de ejecución, sin tener que preocuparse por protecciones como el ASLR (Address Space Layout Randomization), siendo posible saltar a código cercano dentro de la librería afectada.

El proyecto GnuPG corrigió el fallo en el mismo día de su notificación, liberando una nueva versión (1.9.1), instando a los usuarios afectados a actualizar inmediatamente sus sistemas. Asimismo, todos los ficheros de código fuente de la versión afectada han sido renombrados para evitar la descarga accidental de los mismos por parte de scripts automatizados.

Referencias
https://thehackernews.com/2021/01/google-discloses-severe-bug-in.html
https://bugs.chromium.org/p/project-zero/issues/detail?id=2145
https://twitter.com/FiloSottile/status/1355130271352369155