CVE-2016-1979
WysokieStreszczenie
Podatność typu use-after-free w funkcji PK11_ImportDERPrivateKeyInfoAndReturnKey w Mozilla Network Security Services (NSS) przed wersją 3.21.1, używanej w Mozilla Firefox przed wersją 45.0, umożliwia zdalnym atakującym spowodowanie odmowy usługi lub potencjalnie innego nieokreślonego wpływu poprzez spreparowane dane klucza w kodowaniu DER.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zakłócenia działania aplikacji lub wprowadzenia nieprzewidzianych skutków, co może prowadzić do utraty dostępności usług.
Rekomendacja
Zaleca się aktualizację Mozilla Network Security Services (NSS) do wersji 3.21.1 lub nowszej oraz Mozilla Firefox do wersji 45.0 lub nowszej, aby zniwelować ryzyko związane z tą podatnością.
Inne podatności w Mozilla Network Security Services (NSS), Mozilla Firefox
Zobacz wszystkie- CVE-2016-2834Wysokie
Mozilla Network Security Services (NSS) przed wersją 3.23, używane w Mozilla Firefox przed wersją 47.0, umożliwia zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalnie inny nieokreślony wpływ za pomocą nieznanych wektorów.
- CVE-2016-1978Wysokie
Podatność typu use-after-free w funkcji ssl3_HandleECDHServerKeyExchange w Mozilla Network Security Services (NSS) przed wersją 3.21, używanej w Mozilla Firefox przed wersją 44.0, umożliwia zdalnym atakującym spowodowanie odmowy usługi lub potencjalnie innych nieokreślonych skutków poprzez przeprowadzenie handshake SSL (1) DHE lub (2) ECDHE w czasie wysokiego zużycia pamięci.
- CVE-2016-1950Wysokie
W bibliotece Mozilla Network Security Services (NSS) przed wersją 3.19.2.3 oraz 3.20.x i 3.21.x przed wersją 3.21.1 występuje przepełnienie bufora oparte na stercie. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane dane ASN.1 w certyfikacie X.509.
Oryginalny opis (angielski, źródło NVD)
Use-after-free vulnerability in the PK11_ImportDERPrivateKeyInfoAndReturnKey function in Mozilla Network Security Services (NSS) before 3.21.1, as used in Mozilla Firefox before 45.0, allows remote attackers to cause a denial of service or possibly have unspecified other impact via crafted key data with DER encoding.