CVE-2024-7531
ŚrednieStreszczenie
Wywołanie funkcji `PK11_Encrypt()` w NSS z użyciem CKM_CHACHA20 oraz tego samego bufora dla danych wejściowych i wyjściowych może prowadzić do ujawnienia danych w postaci niezaszyfrowanej na procesorze Intel Sandy Bridge. W przeglądarce Firefox problem ten dotyczy jedynie funkcji ochrony nagłówka QUIC, gdy połączenie korzysta z zestawu szyfrującego ChaCha20-Poly1305.
Ocena ryzyka
Ujawnienie danych może prowadzić do naruszenia poufności informacji przesyłanych przez aplikację, co stwarza ryzyko dla bezpieczeństwa organizacji. W szczególności, może to wpłynąć na integralność komunikacji w aplikacjach korzystających z QUIC.
Rekomendacja
Zaleca się unikanie używania CKM_CHACHA20 z tym samym buforem dla danych wejściowych i wyjściowych, a także monitorowanie aktualizacji dotyczących poprawek bezpieczeństwa w NSS oraz Firefox.
Oryginalny opis (angielski, źródło NVD)
Calling `PK11_Encrypt()` in NSS using CKM_CHACHA20 and the same buffer for input and output can result in plaintext on an Intel Sandy Bridge processor. In Firefox this only affects the QUIC header protection feature when the connection is using the ChaCha20-Poly1305 cipher suite. The most likely out