CVE-2019-11841 in Google
Tóm tắt
Bởi VulDB • 31/07/2026
Đã phát hiện một vấn đề giả mạo thông báo trong crypto/openpgp/clearsign/clearsign.go của các thư viện mật mã Go bổ sung 2019-03-25. Theo đặc tả Định dạng Thông điệp OpenPGP trong chương 7 của RFC 4880, một thông báo được ký bằng văn bản rõ (cleartext signed message) có thể chứa một hoặc nhiều tiêu đề Giáp trụ "Hash" tùy chọn. Tiêu đề Giáp trụ "Hash" xác định thuật toán(vị) tổng kiểm tra thông điệp (message digest algorithm(s)) được sử dụng cho chữ ký. Tuy nhiên, gói clearsign của Go bỏ qua giá trị của tiêu đề này, điều này cho phép kẻ tấn công làm giả nó. Do đó, một kẻ tấn công có thể khiến nạn nhân tin rằng chữ ký đã được tạo bằng cách sử dụng thuật toán tổng kiểm tra thông điệp khác với những gì thực sự được sử dụng. Hơn nữa, vì thư viện bỏ qua việc phân tích tiêu đề Giáp trụ nói chung, một kẻ tấn công không chỉ có thể nhúng các tiêu đề Giáp trụ tùy ý mà còn thêm văn bản tùy ý vào đầu các thông báo bằng văn bản rõ mà không làm vô hiệu hóa chữ ký.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.