Mozilla Network Security Services安全限制绕过漏洞(CVE-2014-1568)

企鹅博客
企鹅博客
企鹅博客
25193
文章
0
评论
2019年9月30日14:17:47 评论 157 views
广告也精彩

发布日期:2014-09-24
更新日期:2014-09-29

受影响系统:
Mozilla Network Security Services 3.x
描述:
BUGTRAQ  ID: 70116
 CVE(CAN) ID: CVE-2014-1568

网络安全服务(NSS)是一套用于跨平台开发启用了安全功能的客户端和服务器应用的库,用NSS编译的应用可以支持SSLv2、SSLv3、TLS等安全标准。

Mozilla Network Security Services (NSS) 3.16.2.1之前版本, 3.16.5之前版本, 3.17.1之前版本没有正确解析x.509证书内的ASN.1值,这可使远程攻击者伪造RSA签名。

 该漏洞是Daniel Bleichenbacher的(PKCS#1 v1.5)RSA签名伪造漏洞的变种(CVE-2006-4339)。由于对签名填充数据(signature padding)的检查不正确,攻击者利用该漏洞可以成功伪造RSA签名,比如伪造一个SSL证书。

 使用了Mozilla NSS的产品包括了火狐浏览器,Google Chrome,Google Chrome OS等。

<*来源:Antoine Delignat-Lavaud
        Brian Smith
 
  链接:http://www.intelsecurity.com/advanced-threat-research/
        https://www.imperialviolet.org/2014/09/26/pkcs1.html
        https://www.reddit.com/r/netsec/comments/2hd1m8/rsa_signature_forgery_in_nss/cksnr02
 *>

建议:
厂商补丁:

Mozilla
 -------
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:

企鹅博客
  • 本文由 发表于 2019年9月30日14:17:47
  • 转载请务必保留本文链接:https://www.qieseo.com/157728.html

发表评论