Mozilla opravila závažnou bezpečnostní chybu, která se nachází v multiplatformní knihovně kryptografických funkcí Network Security Services (NSS). Jedná se o chybu přetečení zásobníku, která dostala označení CVE-2021–43527. Chyba souvisí se zpracováním podpisů DSA nebo RSA-PSS ve formátu DER v e-mailových klientech a prohlížečích PDF. Zranitelnost objevil výzkumní z Project Zero jménem Tavis Ormandy.
This is a major memory corruption flaw in NSS, almost any use of NSS is affected. The Mozilla advisory is here https://t.co/AL8suyLQFF https://t.co/uTQ2gqRZ5t
— Tavis Ormandy (@taviso) December 1, 2021
Kód v knihovně používá paměťovou strukturu schopnou pojmout klíče o velikosti 2048 bytů, tedy 16384 bitů. To v praxi stačí na všechny běžně používané klíče. Bohužel není ošetřena situace, kdy někdo použije delší klíč, který přeteče mimo vybranou oblast. Postiženy jsou všechny verze NSS od 3.14 z roku 2012, ale problém se netýká prohlížeče Firefox. Chyba je opravena v NSS verze 3.73.0.
NSS je sada knihoven navržených pro podporu klientských a serverových aplikací používajících šifrování na různých platformách. Aplikace využívající NSS mohou podporovat například certifikáty SSL v3, TLS, PKCS #5, PKCS #7, PKCS #11, PKCS #12, S/MIME, X.509 v3 a další bezpečnostní standardy.
ČLÁNKY DO MAILU