CVE-2016-1978
WysokieStreszczenie
Podatność typu use-after-free w funkcji ssl3_HandleECDHServerKeyExchange w Mozilla Network Security Services (NSS) przed wersją 3.21, używanej w Mozilla Firefox przed wersją 44.0, umożliwia zdalnym atakującym spowodowanie odmowy usługi lub potencjalnie innych nieokreślonych skutków poprzez przeprowadzenie handshake SSL (1) DHE lub (2) ECDHE w czasie wysokiego zużycia pamięci.
Ocena ryzyka
Organizacje mogą doświadczyć odmowy usługi, co może prowadzić do przerw w dostępności usług oraz potencjalnych nieokreślonych skutków dla bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację Mozilla Network Security Services (NSS) do wersji 3.21 lub nowszej oraz Mozilla Firefox do wersji 44.0 lub nowszej, aby zniwelować tę podatność.
Inne podatności w Mozilla Network Security Services (NSS), Mozilla Firefox
Zobacz wszystkie- CVE-2016-2834Wysokie
Mozilla Network Security Services (NSS) przed wersją 3.23, używane w Mozilla Firefox przed wersją 47.0, umożliwia zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalnie inny nieokreślony wpływ za pomocą nieznanych wektorów.
- CVE-2016-1979Wysokie
Podatność typu use-after-free w funkcji PK11_ImportDERPrivateKeyInfoAndReturnKey w Mozilla Network Security Services (NSS) przed wersją 3.21.1, używanej w Mozilla Firefox przed wersją 45.0, umożliwia zdalnym atakującym spowodowanie odmowy usługi lub potencjalnie innego nieokreślonego wpływu poprzez spreparowane dane klucza w kodowaniu DER.
- CVE-2016-1950Wysokie
W bibliotece Mozilla Network Security Services (NSS) przed wersją 3.19.2.3 oraz 3.20.x i 3.21.x przed wersją 3.21.1 występuje przepełnienie bufora oparte na stercie. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane dane ASN.1 w certyfikacie X.509.
Oryginalny opis (angielski, źródło NVD)
Use-after-free vulnerability in the ssl3_HandleECDHServerKeyExchange function in Mozilla Network Security Services (NSS) before 3.21, as used in Mozilla Firefox before 44.0, allows remote attackers to cause a denial of service or possibly have unspecified other impact by making an SSL (1) DHE or (2) ECDHE handshake at a time of high memory consumption.