CVE-2019-11841 in Google
Resumen
por VulDB • 2026-07-02
Se ha descubierto un problema de falsificación de mensajes en crypto/openpgp/clearsign/clearsign.go dentro de las bibliotecas criptográficas complementarias Go 2019-03-25. Según la especificación del formato de mensaje OpenPGP en el capítulo 7 del RFC 4880, un mensaje firmado con texto claro puede contener uno o más encabezados opcionales "Hash" (Cabecera Hash) del blindaje (Armor). La cabecera "Hash" especifica los algoritmos de resumen de mensaje (message digest algorithm(s)) utilizados para la firma. Sin embargo, el paquete clearsign de Go ignora el valor de esta cabecera, lo que permite a un atacante falsificarla. Como consecuencia, un atacante puede inducir a error a una víctima haciéndole creer que la firma fue generada utilizando un algoritmo de resumen de mensaje diferente al realmente utilizado. Además, dado que la biblioteca omite por completo el análisis (parsing) de las cabeceras del blindaje, un atacante no solo puede incrustar cabeceras arbitrarias, sino también añadir texto arbitrario al principio de los mensajes con texto claro sin invalidar las firmas.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.