Mozilla a annoncé le déploiement de correctifs pour une vulnérabilité critique dans la bibliothèque cryptographique multiplateforme NSS (Network Security Services).

Répertoriée sous le nom de CVE-2021-43527, le problème est un débordement de tas lors de la manipulation de signatures DSA ou RSA-PSS encodées en DER qui affecte toutes les versions de NSS antérieures à 3.73 ou 3.68.1 ESR. Son exploitation pourrait permettre à un attaquant de faire planter une application ou encore potentiellement exécuter du code arbitraire.

Selon Mozilla, toutes les applications qui s'appuient sur NSS pour traiter les signatures encodées dans CMS, PKCS #7, PKCS #12, et S/MIME sont potentiellement affectées.

Le problème de sécurité peut également avoir un impact sur les applications qui utilisent NSS pour valider les certificats, ou pour des fonctionnalités supplémentaires de CRL, OCSP, TLS ou X.509, selon la façon dont NSS est configuré.

"Cette vulnérabilité n'a pas d'impact sur Mozilla Firefox. Cependant, les clients de messagerie et les visionneuses de PDF qui utilisent NSS pour la vérification des signatures, tels que Thunderbird, LibreOffice, Evolution et Evince, sont susceptibles d'être affectés", indique Mozilla.

Selon Tavis Ormandy, le chercheur qui a identifié la vulnérabilité, le problème vient du fait que la structure VFYContext que NSS crée pour stocker les données lors de la vérification d'une signature numérique ne peut gérer que des signatures d'une taille maximale de 16384 bits (RSA à 2048 octets). Ainsi, des signatures plus grandes que cela conduiraient à un débordement de tampon.

"La signature non fiable est simplement copiée dans ce tampon de taille fixe, écrasant les membres adjacents avec des données arbitraires contrôlées par l'attaquant", explique Ormandy.

Le chercheur en sécurité note également que la vulnérabilité peut être facilement reproduite et que plusieurs algorithmes sont affectés.