CVE-2018-12020

描述

mainproc.c in GnuPG before 2.2.8 mishandles the original filename during decryption and verification actions, which allows remote attackers to spoof the output that GnuPG sends on file descriptor 2 to other programs that use the "--status-fd 2" option. For example, the OpenPGP data might represent an original filename that contains line feed characters in conjunction with GOODSIG or VALIDSIG status codes.

如何修補 CVE-2018-12020

要修補 CVE-2018-12020,請將受影響套件升級到下列已修補版本。

• —升級至 2.2.8-r0 或更新版本
• —升級至 1.4.22-r1 或更新版本
• —升級至 2:2.0.7-1 或更新版本
• —升級至 1.4.18-7+deb8u5 或更新版本
• —升級至 1.4.22-5 或更新版本
• —升級至 1.4.21-4+deb9u1 或更新版本
• —升級至 2.2.8-1 或更新版本
• —升級至 2.0.26-6+deb8u2 或更新版本
• —升級至 0.3.9-1+deb9u1 或更新版本

CVE-2018-12020 正在被利用嗎?

中等 — EPSS 為 8.7%,可持續追蹤但非最高優先。

受影響套件(9)

• from 0, < 2.2.8-r0
• from 0, < 1.4.22-r1
• from 0, < 2:2.0.7-1
• from 0, < 1.4.18-7+deb8u5
• from 0, < 1.4.22-5
• from 0, < 1.4.21-4+deb9u1
• from 0, < 2.2.8-1
• from 0, < 2.0.26-6+deb8u2
• from 0, < 0.3.9-1+deb9u1

CVSS 分數

參考連結(2)

• ADVISORYsecurity-tracker.debian.org/tracker/CVE-2018-12020
• ADVISORYsecurity.alpinelinux.org/vuln/CVE-2018-12020