CVE-2019-11841 in Google
Sumário
de VulDB • 02/07/2026
Foi descoberto um problema de falsificação de mensagens em crypto/openpgp/clearsign/clearsign.go nas bibliotecas suplementares de criptografia Go 2019-03-25. De acordo com a especificação do Formato de Mensagem OpenPGP no capítulo 7 da RFC 4880, uma mensagem assinada em texto claro pode conter um ou mais cabeçalhos opcionais "Hash" (Armor Headers). O cabeçalho "Hash" especifica o(s) algoritmo(s) de resumo de mensagem usado(s) para a assinatura. No entanto, o pacote clearsign da Go ignora o valor deste cabeçalho, o que permite que um atacante o falsifique. Consequentemente, um atacante pode levar uma vítima a acreditar que a assinatura foi gerada usando um algoritmo de resumo de mensagem diferente daquele que realmente foi utilizado. Além disso, como a biblioteca pula a análise dos Cabeçalhos Armor em geral, um atacante não apenas pode incorporar cabeçalhos Armor arbitrários, mas também pré-pender texto arbitrário às mensagens em texto claro sem invalidar as assinaturas.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.