CVE-2026-24881: GnuPG gpg-agent: estouro de buffer baseado em pilha na descriptografia CMS

Visão geral

A CVE-2026-24881 é um estouro de buffer baseado em pilha (CWE-121) no gpg-agent, componente do GnuPG responsável por operações com chaves privadas. Segundo o registro da CVE, ela é disparada por uma mensagem CMS (S/MIME) EnvelopedData elaborada, com chave de sessão encapsulada superdimensionada, durante o tratamento de PKDECRYPT--kem=CMS.

Impacto

O registro afirma que a falha pode ser facilmente usada para negação de serviço. Também afirma que a corrupção de memória poderia levar à execução remota de código, tratada como possibilidade e não como resultado demonstrado. A NVD atribui pontuação base CVSS 3.1 de 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, e a pontuação do CNA no registro é 8.1.

Produtos e versões afetadas

• GnuPG: da versão 2.5.13 até antes da 2.5.17.
• Gpg4win: 5.0.0 anterior à 5.0.1.

O campo de correções do registro está vazio. Os limites superiores das faixas afetadas indicam as primeiras versões fora do intervalo vulnerável, então administradores devem comparar as instalações com esses limites e com os avisos dos fornecedores.

Status de exploração

O registro mostra que esta CVE não consta no catálogo KEV da CISA. Nenhuma exploração ativa confirmada ou explorada na natureza aparece nas fontes consultadas. A referência do GnuPG em dev.gnupg.org tem a tag Exploit no registro, mas essa tag isoladamente não comprova exploração real, e o conteúdo dela não foi verificado nesta análise.

Correção e mitigação

• Atualize o GnuPG para a versão 2.5.17 ou superior.
• Atualize o Gpg4win para a versão 5.0.1 ou superior.
• Consulte os avisos dos fornecedores listados nas referências, como a página da Red Hat, para verificar o status de pacotes por distribuição.
• Enquanto a atualização não for concluída, reduza a exposição limitando o processamento automatizado de e-mails S/MIME não confiáveis e restringindo o acesso a sistemas em que o gpg-agent trate mensagens de origem externa.

Orientações de detecção

• Monitore falhas inesperadas, reinicializações ou despejos de memória do gpg-agent, sobretudo quando coincidirem com a descriptografia de mensagens S/MIME.
• Revise registros de fluxos de e-mail e documentos em busca de falhas repetidas de descriptografia vinculadas a uma mesma origem.
• Mantenha um inventário das versões do GnuPG e do Gpg4win para identificar rapidamente as instalações vulneráveis.

Limitações das informações disponíveis

O registro não traz pontuação EPSS nem dados SSVC. As pontuações do CNA e da NVD diferem e o campo de correções está vazio, por isso as versões corrigidas devem ser confirmadas com os fornecedores. Não há informações sobre quais distribuições aplicaram a correção por backport nem sobre quais clientes de e-mail invocam o gpg-agent no modo CMS.

Perguntas frequentes

Esta vulnerabilidade está sendo explorada ativamente?

O registro não lista esta CVE no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.

Quais versões são afetadas?

O registro lista o GnuPG da 2.5.13 até antes da 2.5.17 e o Gpg4win 5.0.0 anterior à 5.0.1 como afetados.

O que os administradores devem fazer primeiro?

Compare as versões instaladas do GnuPG e do Gpg4win com as faixas afetadas, aplique as atualizações para 2.5.17 ou 5.0.1 ou superior e confira os avisos dos fornecedores para pacotes de cada distribuição.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.