公告ID(KYSA-202109-0008)
公告ID:KYSA-202109-0008
公告摘要: libgcrypt20安全漏洞
等級:中等
發布日期:2022-11-23
詳細介紹
1. 修復的CVE
CVE-2021-33560
Libgcrypt是GNU計劃開發(Gnu計劃開發)的一個基于GnuPG代碼的通用加密庫。該庫實現了各種加密算法,包括對稱密碼、哈希算法、公開密鑰算法等。Libgcrypt 在1.8.8和1.9之前存在安全漏洞,該漏洞源于缺乏指數盲法來解決針對mpi powm的側信道攻擊,而且窗口大小選擇不當。
CVE-2021-40528
Libgcrypt是GNU計劃開發(Gnu計劃開發)的一個基于GnuPG代碼的通用加密庫。該庫實現了各種加密算法,包括對稱密碼、哈希算法、公開密鑰算法等。Libgcrypt 1.9.4之前版本存在安全漏洞,該漏洞源于在1.9.4之前的Libgcrypt中的ElGamal實現允許明文恢復,因為在兩個密碼庫之間的交互過程中,接收方公鑰定義的質數、接收方公鑰定義的生成器、和發送方的臨時指數可能導致對OpenPGP的交叉配置攻擊。
2. 受影響的操作系統及軟件包
·銀河麒麟桌面操作系統V10 SP1
libgcrypt-mingw-w64-dev
libgcrypt20
libgcrypt20-dev
libgcrypt20-doc
3. 軟件包修復版本
軟件包:libgcrypt20
1.8.5-5kylin1.1(V10 SP1)
4. 修復方法
方法一:配置源進行升級安裝
打開軟件包源配置文件,根據倉庫地址進行修改。
4.0.2-sp1:
http://archive.kylinos.cn/kylin/KYLIN-ALL 4.0.2sp1-desktop main restricted universe multiverse
4.0.2-sp2:
http://archive.kylinos.cn/kylin/KYLIN-ALL 4.0.2sp2-desktop main restricted universe multiverse
4.0.2-sp3:
http://archive.kylinos.cn/kylin/KYLIN-ALL 4.0.2sp3-desktop main restricted universe multiverse
4.0.2-sp4:
http://archive.kylinos.cn/kylin/KYLIN-ALL 4.0.2sp4-desktop main restricted universe multiverse
10.0:
http://archive.kylinos.cn/kylin/KYLIN-ALL 10.0 main restricted universe multiverse
10.0 SP1:
http://archive.kylinos.cn/kylin/KYLIN-ALL 10.1 main restricted universe multiverse
配置完成后執行更新命令進行升級
$sudo apt update
方法二:下載安裝包進行升級安裝
通過軟件包地址下載軟件包,使用軟件包升級命令根據受影響的組件包列表 升級相關的組件包。
#dpkg -i Packagelists
5. 軟件包下載地址
麒麟操作系統桌面版V10 SP1
X86_64軟件包下載地址
http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/libg/libgcrypt20/libgcrypt-mingw-w64-dev_1.8.5-5kylin1.1_all.deb
http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/libg/libgcrypt20/libgcrypt20-dev_1.8.5-5kylin1.1_amd64.deb
http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/libg/libgcrypt20/libgcrypt20-doc_1.8.5-5kylin1.1_all.deb
http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/libg/libgcrypt20/libgcrypt20_1.8.5-5kylin1.1_amd64.deb
arm64軟件包下載地址
http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/libg/libgcrypt20/libgcrypt-mingw-w64-dev_1.8.5-5kylin1.1_all.deb
http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/libg/libgcrypt20/libgcrypt20-dev_1.8.5-5kylin1.1_arm64.deb
http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/libg/libgcrypt20/libgcrypt20-doc_1.8.5-5kylin1.1_all.deb
http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/libg/libgcrypt20/libgcrypt20_1.8.5-5kylin1.1_arm64.deb
mips64el軟件包下載地址
http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/libg/libgcrypt20/libgcrypt-mingw-w64-dev_1.8.5-5kylin1.1_all.deb
http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/libg/libgcrypt20/libgcrypt20-dev_1.8.5-5kylin1.1_mips64el.deb
http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/libg/libgcrypt20/libgcrypt20-doc_1.8.5-5kylin1.1_all.deb
http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/libg/libgcrypt20/libgcrypt20_1.8.5-5kylin1.1_mips64el.deb
6. 修復驗證
使用軟件包查詢命令,查看相關的軟件包版本大于或等于修復版本則成功修復。
$sudo dpkg -l |grep Package
注:Package為軟件包包名。