当前位置： 首页 > 服务与支持 > 产品升级公告 > 安全漏洞公告

服务与支持Support

Mozilla Network Security Services安全限制绕过漏洞(CVE-2014-1568)

     发表日期：2014-11-05 11:26:31

Mozilla Network Security Services安全限制绕过漏洞(CVE-2014-1568)

BugTraq-ID:70116

CVE-ID:CVE-2014-1568

 

受影响系统：

Mozilla Network Security Services 3.x

详细信息：

 

网络安全服务（NSS）是一套用于跨平台开发启用了安全功能的客户端和服务器应用的库，用NSS编译的应用可以支持SSLv2、SSLv3、TLS等安全标准。

 

 

 

Mozilla Network Security Services (NSS) 3.16.2.1之前版本, 3.16.5之前版本, 3.17.1之前版本没有正确解析x.509证书内的ASN.1值，这可使远程攻击者伪造RSA签名。

 

 

 

该漏洞是Daniel Bleichenbacher的(PKCS#1 v1.5)RSA签名伪造漏洞的变种(CVE-2006-4339)。由于对签名填充数据(signature padding)的检查不正确，攻击者利用该漏洞可以成功伪造RSA签名，比如伪造一个SSL证书。

 

 

 

使用了Mozilla NSS的产品包括了火狐浏览器，Google Chrome,Google Chrome OS等。

 

 

 

 

来源：

Antoine Delignat-Lavaud

参考信息：

http://www.intelsecurity.com/advanced-threat-research/

 

https://www.imperialviolet.org/2014/09/26/pkcs1.html

 

https://www.reddit.com/r/netsec/comments/2hd1m8/rsa_signature_forgery_in_nss/cksnr02

 

http://www.intelsecurity.com/resources/wp-berserk-analysis-part-2.pdf?sf5112931=1

解决办法：

厂商补丁：

 

Mozilla

-------

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

 

 

 

https://developer.mozilla.org/en-US/docs/Mozilla/Projects/NSS