Ich behaupte nicht, daß alle Teile des Patches exploitbare Sicherheitsprobleme fixen.
Ich bin nur ein Mensch. Ich hab da wahrscheinlich Dinge übersehen, oder vielleicht macht mein Patch auch was schlimmer. Die Testsuite überlebt der gepatchte gnupg jedenfalls noch bei mir.
Ich habe mich auf Schreibzugriffe beschränkt. Es gibt da immer noch zig Stellen, wo gnupg wild in der Gegend rumliest. Wenn das nicht wie ein Krypto-Schlüssel Info Leak aussah, hab ich es in Ruhe gelassen. Gnupg ranzt eh an diversen Stellen mit assert() oder BUG() ab, wenn was nicht stimmt, insofern scheint ein spontanes Abrauchen für gnupg-Standards akzeptables Verhalten zu sein.
Das ist auch der Grund, wieso ich bei meinen Fixed häufig auf assert() zurück gegriffen habe.
Und jetzt bitte ich darum, daß ihr das nicht einfach alle benutzt, sondern euch selber die Sourcen auch noch mal anguckt. Die Leute erzählen immer alle, wie toll sicher freie Software sei, weil so viele Augen draufgucken — dann müssen aber auch viele Augen draufgucken!!
Update: Und schon hat jemand (Fabian Keil, danke!) einen Fuckup gefunden. Neues Diff (Jan 15 17:20) geuploaded.