企业动态

    奇安信CERT

    致力于第一时间为企业级用户提供安全风险通告和有效解决方案。

    近日，奇安信CERT监测到Mozilla发布MozillaNSS内存损坏漏洞通告。MozillaNSS库是Mozilla广泛使用的跨平台加密库，NSS在处理DER编码的DSA或RSA-PSS签名时容易发生堆溢出，远程攻击者可能利用此漏洞在目标设备上执行任意代码。根据Mozilla所述此漏洞不会影响MozillaFirefox，但影响使用NSS进行签名验证的电子邮件客户端和PDF查看器，如Thunderbird、Libreoffice、Evolution和Evince等。鉴于此漏洞细节及PoC已公开，建议客户尽快自查修复。

    当前漏洞状态

    漏洞描述

    近日，奇安信CERT监测到国外安全研究员发布MozillaNSS库远程代码执行漏洞细节及PoC。MozillaNSS库是Mozilla广泛使用的跨平台加密库，根据Mozilla所述该漏洞影响Thunderbird、Libreoffice、Evolution和Evince等产品。当验证ASN.1编码的数字签名时，NSS将创建一个VFYContext结构来存储数据，这个结构可以处理最大签名大小是2048个字节，如果签名大小大于2048个字节时将发生堆溢出，利用堆溢出覆盖hashobj成员的函数指针可达到代码执行。鉴于漏洞危害大，细节及PoC已公开，奇安信CERT强烈建议客户自查是否受该漏洞影响，并升级对应软件。

    CVE-2021-43527MozillaNSS库远程代码执行漏洞

    奇安信CERT已第一时间复现该漏洞，截图如下：

    风险等级

    奇安信CERT风险评级为：高危

    风险等级：蓝色（一般事件）

    影响范围

    NSS<3.73.0

    处置建议

    将NSS库升级到NSS>=3.73.0

    参考资料

    [1]https://www.mozilla.org/en-US/security/advisories/mfsa2021-51/#CVE-2021-43527

    时间线

    2021年12月3日，奇安信CERT发布安全风险通告

    到奇安信NOX-安全监测平台查询更多漏洞详情

    奇安信CERT长期招募安全研究员