GnuPG выпустил обновление 2.5.17 для устранения уязвимости

Команда проекта GnuPG представила новое обновление 2.5.17, которое адресует критическую уязвимость в линейке 2.5.x. Согласно информации из рассылки gnupg-announce, данная проблема затрагивает версии 2.5.13, 2.5.14, 2.5.15 и 2.5.16, а также пакет Gpg4win 5.0.0 и его бета-сборки. Разработчики утверждают, что остальные версии не подвержены данному риску.

Уязвимость связана с обработкой данных S/MIME, где специально подготовленное сообщение с чрезмерно большим ключом вызывает переполнение буфера стека в gpg-agent. Это может быть использовано для отказа в обслуживании и потенциально для выполнения кода. Утечка возникла вследствие изменений внутреннего API для KEM-интерфейса в соответствии с FIPS.

Проблема пока не имеет идентификатора CVE и обозначается как T8044 в трекере GnuPG. Ее выявила команда OpenAI Security Research, а исправления были опубликованы 27 января 2026 года. Пользователям Gpg4win советуют обновить установщик до версии 5.0.1 и оперативно перейти на GnuPG 2.5.17. Если обновление невозможно, рекомендуется удалить бинарник gpgsm для предотвращения дистанционного триггера уязвимости. Новая версия также включает дополнительные исправления безопасности, которые можно найти на странице Release-info.