CVE-2019-11841 in Google
요약
\~에 의해 VulDB • 2026. 07. 31.
crypto/openpgp/clearsign/clearsign.go에서 메시지 위조 문제가 발견되었습니다(보충 Go 암호화 라이브러리 2019-03-25). RFC 4880의 OpenPGP 메시지 형식 사양에 따르면, 평문 서명 메시지는 하나 이상의 선택적 "Hash" 아머 헤더를 포함할 수 있습니다. "Hash" 아머 헤더는 서명에 사용되는 메시지 다이제스트 알고리즘을 지정합니다. 그러나 Go clearsign 패키지는 이 헤더의 값을 무시하므로 공격자가 이를 속일 수 있습니다. 결과적으로, 공격자는 피해자에게 실제 사용된 것과 다른 메시지 다이제스트 알고리즘으로 생성된 것처럼 서명이 생성되었다고 믿게 만들 수 있습니다. 또한 라이브러리가 일반적으로 아머 헤더 파싱을 건너뛰기 때문에, 공격자는 임의의 아머 헤더를 삽입할 뿐만 아니라 서명을 무효화하지 않고도 평문 메시지에 임의의 텍스트를 앞에 붙일 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.