Cyber ·
USN-9087-1: execução de comandos via gpg-key2ps no pacote signing-party
Aviso do Ubuntu Security de 12/11/2026 sobre o gpg-key2ps, do signing-party, que não sanitiza IDs de usuário antes de passá-los a um shell e pode permitir execução de comandos ao processar uma chave OpenPGP maliciosa.
O aviso USN-9087-1, publicado no feed do Ubuntu Security em 12 de novembro de 2026, descreve uma falha na ferramenta gpg-key2ps, parte do pacote signing-party. Segundo o texto recebido, a ferramenta não sanitiza corretamente os IDs de usuário antes de repassá-los a um shell. Se um usuário for induzido a processar uma chave OpenPGP criada especialmente, um invasor poderia possivelmente explorar o problema para executar comandos arbitrários.
O texto recebido não informa versões afetadas nem versões corrigidas. Para isso, consulte o aviso original no Ubuntu Security pelo identificador USN-9087-1 e confirme no gerenciador de pacotes quais versões estão instaladas no seu ambiente.
A relação com a Rota Nacional é indireta. A plataforma não corrige nem monitora ferramentas de terceiros instaladas nos servidores da organização. Se o seu time usa o signing-party, a ação prática é aplicar a atualização de segurança da distribuição e evitar processar chaves de origem não confiável.
Fonte original: USN-9087-1: vulnerabilidade no signing-party