JVNVU#94190107
Mozilla Network Security Services (NSS) に RSA 署名検証不備の脆弱性
Mozilla Network Security Services (NSS) ライブラリには、DigestInfo の処理に問題があり、RSA 署名を適切に検証しない脆弱性が存在します。
- NSS 3.16.2.1 より前のバージョン
- NSS 3.16.5 より前のバージョン
- NSS 3.17.1 より前のバージョン
- Firefox 32.0.3 より前のバージョン
- Firefox ESR 24.8.1 より前のバージョン
- Firefox ESR 31.1.1 より前のバージョン
- Thunderbird 31.1.2 より前のバージョン
- Thunderbird 24.8.1 より前のバージョン
- SeaMonkey 2.29.1 より前のバージョン
- Google Chrome 37.0.2062.124 より前のバージョン
- Google Chrome OS 37.0.2062.120 (Platform version: 5978.98.1/5978.98.2) より前のバージョン
Mozilla Network Security Services (NSS) ライブラリが実装する DigestInfo の処理には脆弱性が存在します。 BER エンコードされた DigestInfo のフィールドをパースする際、パディングされたバイトの解析をバイパスされ、PKCS#1 v1.5 形式の RSA 署名の偽造を検知できない可能性があります(CWE-295)。
本脆弱性は、2006年に発表された Bleichenbacher vulnerability の一種です。
Mozilla NSS は 複数の Linux ディストリビューションやパッケージ、および、Google Chrome や Google Chrome OS などで利用されています。また、その他の暗号ライブラリや製品にも同様の脆弱な実装が存在する可能性があります。
SSL 証明書などの RSA 署名を偽造される可能性があります。
アップデートする
開発者が提供する情報(MSFA 2014-73)をもとに、最新版へアップデートしてください。
Google Chrome や Google Chrome OS など、その他の製品については、各製品開発者が提供する情報をもとに対応してください。
| ベンダ | リンク |
| Mozilla | Mozilla Foundation セキュリティアドバイザリ 2014-73 |
| Stable Channel Update | |
| Stable Channel Update for Chrome OS |
-
CERT/CC Vulnerability Note VU#772676
Mozilla Network Security Services (NSS) fails to properly verify RSA signatures -
ietf-openpgp mailing list
Bleichenbacher's RSA signature forgery based on implementation error -
Mozilla
bug#1069405 -
Mozilla
bug#1064636 -
Mozilla
Network Security Services -
Mozilla
NSS Releases -
IETF RFC2313
PKCS #1: RSA Encryption Version 1.5
2014.09.25における脆弱性分析結果(CVSS Base Metrics)
| 評価尺度 | 評価値 | 説明 | ||
|---|---|---|---|---|
| 攻撃元区分(AV) | ローカル (L) | 隣接 (A) | ネットワーク (N) | ネットワーク経由でリモートから攻撃可能 |
| 攻撃条件の複雑さ(AC) | 高 (H) | 中 (M) | 低 (L) | 攻撃成立に何らかの条件が必要 |
| 攻撃前の認証要否(Au) | 複数 (M) | 単一 (S) | 不要 (N) | 認証は不要 |
| 機密性への影響(C) | なし (N) | 部分的 (P) | 全面的 (C) | 全ての情報が漏えいする |
| 完全性への影響(I) | なし (N) | 部分的 (P) | 全面的 (C) | 情報の正確さや完全さが全面的に損なわれる |
| 可用性への影響(A) | なし (N) | 部分的 (P) | 全面的 (C) | システムの使用は阻害されない |
Base Score:8.8
