Уязвимость подмены подписей PKCS#1 v1.5 в Network Security Services (NSS) при обработке запросов сертификатов в TLS 1.3
Описание
Существует уязвимость, при которой возможно заставить Network Security Services (NSS) использовать неподходящие подписи PKCS#1 v1.5 для CertificateVerify, когда сервер рекламирует только эти подписи в CertificateRequest в TLS 1.3. Подписи PKCS#1 v1.5 не должны использоваться для сообщений TLS 1.3.
Затронутые версии ПО
- Firefox версий ниже 68
Тип уязвимости
Подмена алгоритмов цифровой подписи
Ссылки
- Issue TrackingPermissions RequiredVendor Advisory
- Vendor Advisory
- Issue TrackingPermissions RequiredVendor Advisory
- Vendor Advisory
Уязвимые конфигурации
EPSS
5.3 Medium
CVSS3
5 Medium
CVSS2
Дефекты
Связанные уязвимости
A vulnerability exists where it possible to force Network Security Services (NSS) to sign CertificateVerify with PKCS#1 v1.5 signatures when those are the only ones advertised by server in CertificateRequest in TLS 1.3. PKCS#1 v1.5 signatures should not be used for TLS 1.3 messages. This vulnerability affects Firefox < 68.
A vulnerability exists where it possible to force Network Security Services (NSS) to sign CertificateVerify with PKCS#1 v1.5 signatures when those are the only ones advertised by server in CertificateRequest in TLS 1.3. PKCS#1 v1.5 signatures should not be used for TLS 1.3 messages. This vulnerability affects Firefox < 68.
A vulnerability exists where it possible to force Network Security Ser ...
A vulnerability exists where it possible to force Network Security Services (NSS) to sign CertificateVerify with PKCS#1 v1.5 signatures when those are the only ones advertised by server in CertificateRequest in TLS 1.3. PKCS#1 v1.5 signatures should not be used for TLS 1.3 messages. This vulnerability affects Firefox < 68.
Уязвимость браузера Firefox, связанная с ошибкой службы сетевой безопасности CertificateVerify, позволяющая нарушителю оказать воздействие на целостность данных
EPSS
5.3 Medium
CVSS3
5 Medium
CVSS2