Ein kürzlich veröffentlichter Sicherheitshinweis des CERT-Bund (WID-SEC-2026-3739) warnt davor, dass ein entfernter, anonymer Angreifer eine Schwachstelle im Open‑Source‑Verschlüsselungsprogramm GnuPG ausnutzen kann, um Dateien zu manipulieren. Die Meldung enthält Details zur Ausnutzbarkeit, zu betroffenen Versionen und zu empfohlenen Gegenmaßnahmen.
Hintergrund der Schwachstelle
GnuPG ist ein weit verbreitetes Werkzeug zur Verschlüsselung und Signatur von Daten. Die gemeldete Lücke betrifft die Verarbeitung bestimmter Eingabedaten, wodurch ein Angreifer ohne vorherige Authentifizierung Code ausführen und die Integrität von Dateien verändern kann.
Technische Details
Laut dem Advisory ermöglicht die fehlerhafte Implementierung im Modul zur Schlüsselverwaltung das Einspielen manipulierter Datenpakete. Durch präzise formatierte Eingaben kann der Angreifer die Speicherverwaltung überschreiben und damit die Kontrolle über die betroffenen Prozesse erlangen.
Betroffene Systeme
Die Schwachstelle ist in allen GnuPG‑Versionen bis einschließlich 2.3.5 nachweislich reproduzierbar. Systeme, die ältere Versionen einsetzen oder keine aktuellen Sicherheitspatches erhalten haben, sind besonders gefährdet.
Empfohlene Gegenmaßnahmen
Der CERT-Bund rät Administratoren, unverzüglich auf die aktuelle Version 2.3.6 oder höher zu aktualisieren. Zusätzlich sollten betroffene Systeme auf verdächtige Änderungen an signierten Dateien geprüft und, falls nötig, betroffene Schlüssel neu generiert werden.
Ausblick und weitere Schritte
Der Hinweis weist darauf hin, dass weitere Untersuchungen laufen, um mögliche Nebenwirkungen der Schwachstelle zu identifizieren. Nutzer werden aufgefordert, regelmäßig Sicherheitsupdates zu prüfen und die offiziellen Kommunikationskanäle des CERT-Bund zu verfolgen.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung