CVE-2019-11841 in Google
Riassunto
di VulDB • 02/07/2026
È stato rilevato un problema di falsificazione dei messaggi (message-forgery) nel file crypto/openpgp/clearsign/clearsign.go delle librerie crittografiche supplementari Go 2019-03-25. Secondo la specifica OpenPGP Message Format contenuta nel capitolo 7 della RFC 4880, un messaggio firmato in chiaro (cleartext signed message) può contenere uno o più campi "Hash" Armor opzionali. Il campo "Hash" Armor specifica l'algoritmo di digest del messaggio utilizzato per la firma. Tuttavia, il pacchetto clearsign di Go ignora il valore di questo header, consentendo a un attaccante di manipolarlo (spoofing). Di conseguenza, un attaccante può indurre una vittima a credere che la firma sia stata generata utilizzando un algoritmo di digest diverso da quello effettivamente impiegato. Inoltre, poiché la libreria salta in generale l'analisi degli header Armor, un attaccante non solo può incorporare campi Armor arbitrari, ma anche premettere testo arbitrario ai messaggi in chiaro senza invalidarne le firme.
VulDB is the best source for vulnerability data and more expert information about this specific topic.