Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant peut créer des données ASN.1 illicite, qui sont
reconnues comme valides par QuickDER de NSS, afin de contourner un
antivirus par exemple.

Produits concernés : NSS

Gravité : 1/4

Date création : 01/12/2014

DESCRIPTION DE LA VULNÉRABILITÉ

La bibliothèque NSS implémente QuickDER pour décoder les
données ASN.1.

La fonction definite_length_decoder() du fichier
lib/util/quickder.c décode la taille des données. Cependant, les
encodages malformés sont tout de même acceptés.

Un attaquant peut donc créer des données ASN.1 illicite, qui
sont reconnues comme valides par QuickDER de NSS, afin de
contourner un antivirus par exemple.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/NSS-decodage-non-robuste-via-QuickDER-15727