The gpg.fail aftermath: On responsible disclosure, GPG, and the state of security in 2026

Описание и применение

В 2025 году исследователь обнаружил несколько уязвимостей в GnuPG, которые частично исправились, но многие остались незащищёнными. В докладе на 39c3 он показал, как легко подделать подпись и вызвать сбой памяти, а также обсудил проблемы ответственной раскрытия и влияние ИИ на безопасность.

Задача

Vulnerabilities in GnuPG (GPG) were discovered but many remained unpatched, exposing users to spoofed signatures and memory corruption.

Результат

The talk highlighted persistent security issues in GnuPG, underscored the need for better responsible disclosure, and showcased the state of the codebase.

Рабочий процесс

• Discovered initial vulnerability in GPG
• Identified additional independent bugs over months
• Disclosed vulnerabilities weeks before 39c3
• Presented findings at 39c3
• Demonstrated unpatched flaws live
• Discussed responsible disclosure practices and AI impact

Доказательства

Some of the bugs ended up getting fixed.

Источник

One of the first vulnerabilities I found remains unpatched to this day.

Источник