Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

15/05/2018

Vulnerabilitat: usuaris de correus xifrats han de desactivar plugins de desxifrat de correu

S'ha anunciat una vulnerabilitat que podria comprometre les comunicacions xifrades a través de correu electrònic que utilitzen els protocols PGP o S/MIME

La vulnerabilitat, batejada EFAIL, podria permetre segons l'equip d'investigació que l'ha descoberta, realitzar-se a través d'un adreça electrònica especialment manipulada, i afectar tant correus que es reben en el futur com correus rebuts en el passat.

Cal aclarir que la fallada no es trobaria en GPG, que continua sent segur segons han publicat responsables de GnuPG en Twitter i inclús en una nota de premsa, sinó en la gestió d'errors que realitzen els plugin de les aplicacions de correu que gestionen el correu xifrat.

 

Sistemes Afectats:

Potencialment tots els clients de correu que tinguen plugin de gestió de correus xifrats. Es destaquen els següents:

• Thunderbird con Enigmail
• Apple Mail con GPGTools
• Outlook con Gpg4Win

Referències:

CVE-2017-17688, CVE-2017-17689

Solució:

Fins que els fabricants publiquen les actualitzacions corresponents, s’ha de desactivar els plugin de xifrat i desxifrat automàtic de correus electrònics i realitzar aquestes tasques de xifrat i desxifrat manualment, fora del context dels clients de correu electrònic.

Notes:

Electronic Frontier Foundation

CERT Coordination Center Vulnerability Note VU #122919

CSIRT-CV