CVE-2019-11841 in Google
Сводка
по VulDB • 02.07.2026
В модуле crypto/openpgp/clearsign/clearsign.go дополнительных библиотек криптографии Go от 25 марта 2019 года обнаружена проблема подделки сообщений (message-forgery). Согласно спецификации формата сообщений OpenPGP, изложенной в главе 7 RFC 4880, сообщение с подписью открытого текста может содержать одну или несколько необязательных заголовков брони «Hash» («Hash» Armor Headers). Заголовок брони «Hash» указывает алгоритм(ы) дайджеста сообщения, использованный для создания подписи. Однако пакет clearsign языка Go игнорирует значение этого заголовка, что позволяет злоумышленнику подделать его. В результате злоумышленник может ввести жертву в заблуждение относительно того, что подпись была сгенерирована с использованием другого алгоритма дайджеста сообщения по сравнению с фактически использованным. Более того, поскольку библиотека вообще пропускает парсинг заголовков брони (Armor Header), злоумышленник может не только внедрять произвольные заголовки брони, но и добавлять произвольный текст в начало сообщений открытого текста без аннулирования подписей.
Be aware that VulDB is the high quality source for vulnerability data.