વિશે સમાચાર નિર્ણાયક નબળાઈ ઓળખવી (પહેલેથી CVE-2021-43527 હેઠળ સૂચિબદ્ધ) en ક્રિપ્ટોગ્રાફિક પુસ્તકાલયોનો સમૂહ એનએસએસ (નેટવર્ક સુરક્ષા સેવાઓ) મોઝિલા તરફથી જે દૂષિત કોડના અમલ તરફ દોરી શકે છે DER (વિશિષ્ટ એન્કોડિંગ નિયમો) નો ઉપયોગ કરીને ઉલ્લેખિત DSA અથવા RSA-PSS ડિજિટલ હસ્તાક્ષરો પર પ્રક્રિયા કરતી વખતે.
સમસ્યા ડિજિટલ હસ્તાક્ષરોને હેન્ડલ કરવા માટે NSS નો ઉપયોગ કરતી એપ્લિકેશન્સમાં પોતાને પ્રગટ કરે છે CMS, S/MIME, PKCS # 7 અને PKCS # 12, અથવા જમાવટમાં પ્રમાણપત્રોની ચકાસણી કરતી વખતે TLS, X.509, OCSP અને CRL. TLS, DTLS અને S/MIME સપોર્ટ, ઈમેઈલ ક્લાયન્ટ્સ અને PDF દર્શકો કે જેઓ ડિજિટલ હસ્તાક્ષર ચકાસવા માટે NSS CERT_VerifyCertificate () કૉલનો ઉપયોગ કરે છે તે વિવિધ ક્લાયંટ અને સર્વર એપ્લિકેશન્સમાં નબળાઈ ઊભી થઈ શકે છે.
લિબરઓફીસ, ઇવોલ્યુશન અને એવિન્સનો ઉલ્લેખ સંવેદનશીલ એપ્લિકેશનના ઉદાહરણો તરીકે કરવામાં આવ્યો છે. સંભવતઃ, સમસ્યા પિડગીન, અપાચે ઓપનઓફિસ, સુરીકાટા, કર્લ જેવા પ્રોજેક્ટને પણ અસર કરી શકે છે.
તે જ સમયે, Firefox, Thunderbird અને Tor બ્રાઉઝરમાં નબળાઈ દેખાતી નથી, જે ચકાસણી માટે અલગ mozilla :: pkix લાઇબ્રેરીનો ઉપયોગ કરે છે, જે NSS નો પણ ભાગ છે. આ ક્રોમ-આધારિત બ્રાઉઝર્સ (સિવાય કે તેઓ ખાસ કરીને NSS સાથે કમ્પાઈલ કરવામાં આવ્યા હોય), જે 2015 સુધી NSS નો ઉપયોગ કરે છે, પરંતુ પછી બોરિંગએસએસએલ પર લઈ જાય છે, તેઓ સમસ્યાથી પ્રભાવિત થતા નથી.
vfy_CreateContext માં પ્રમાણપત્ર ચકાસણી કોડમાં ખામીને કારણે નબળાઈ છે secvfy.c ફાઇલનું કાર્ય. જ્યારે ક્લાયંટ સર્વરમાંથી પ્રમાણપત્ર વાંચે છે ત્યારે ભૂલ બંને પોતાને મેનીફેસ્ટ કરે છે જ્યારે સર્વર ક્લાયંટના પ્રમાણપત્રો પર પ્રક્રિયા કરે છે.
જ્યારે DER-એનકોડેડ ડિજિટલ હસ્તાક્ષર ચકાસવામાં આવે છે, ત્યારે NSS નિશ્ચિત-કદના બફરમાં સહીને ડીકોડ કરે છે અને આ બફરને PKCS # 11 મોડ્યુલમાં પસાર કરે છે. પોસ્ટ-પ્રોસેસિંગ દરમિયાન, DSA અને RSA-PSS હસ્તાક્ષરો માટે, કદ ખોટી રીતે ચકાસવામાં આવે છે, પરિણામે જેમાં VFYContextStr સ્ટ્રક્ચર માટે ફાળવેલ બફરના ઓવરફ્લો તરફ દોરી જાય છે, જો ડિજિટલ હસ્તાક્ષરનું કદ 16384 બિટ્સ કરતાં વધી જાય (બફર માટે 2048 બાઇટ્સ ફાળવવામાં આવે છે, પરંતુ તે ચકાસવામાં આવતું નથી કે સહી મોટી હોઈ શકે છે).
જે કોડમાં નબળાઈ છે તે 2003નો છે, પરંતુ 2012 માં રિફેક્ટરિંગ સુધી તે કોઈ ખતરો ન હતો. 2017 માં, RSA-PSS સપોર્ટનો અમલ કરતી વખતે સમાન ભૂલ થઈ હતી. હુમલો કરવા માટે, જરૂરી ડેટા મેળવવા માટે ચોક્કસ કીઓની સંસાધન-સઘન જનરેશનની જરૂર નથી, કારણ કે ડિજિટલ હસ્તાક્ષરની માન્યતાની ચકાસણી પહેલાના તબક્કામાં ઓવરફ્લો થાય છે. ડેટાનો આઉટ-ઓફ-બાઉન્ડ્સ ભાગ મેમરી એરિયામાં લખવામાં આવે છે જેમાં ફંક્શન પોઇન્ટર હોય છે, જેનાથી કાર્યકારી શોષણ બનાવવાનું સરળ બને છે.
Google પ્રોજેક્ટ ઝીરો સંશોધકો દ્વારા નબળાઈ ઓળખવામાં આવી હતી નવી અસ્પષ્ટ પરીક્ષણ પદ્ધતિઓ સાથેના પ્રયોગો દરમિયાન અને વ્યાપકપણે પરીક્ષણ કરાયેલ જાણીતા પ્રોજેક્ટમાં કેવી રીતે તુચ્છ નબળાઈઓ લાંબા સમય સુધી શોધી શકાતી નથી તેનું સારું પ્રદર્શન છે.
આ માટે મુખ્ય સમસ્યાઓ કે જેના માટે સમસ્યાનું ધ્યાન ગયું નથી ઘણા સમય સુધી:
- NSS ડ્રાઇવ લાઇબ્રેરી અને ફઝિંગ પરીક્ષણો તેની સંપૂર્ણ રીતે હાથ ધરવામાં આવ્યાં ન હતા, પરંતુ વ્યક્તિગત ઘટક સ્તરે.
- ઉદાહરણ તરીકે, DER અને પ્રક્રિયા પ્રમાણપત્રોને ડીકોડ કરવા માટેનો કોડ અલગથી ચકાસવામાં આવ્યો હતો; ફઝિંગ દરમિયાન, પ્રમાણપત્ર સારી રીતે મેળવી શકાયું હોત, જે પ્રશ્નમાં નબળાઈના અભિવ્યક્તિ તરફ દોરી જાય છે, પરંતુ તેની ચકાસણી વેરિફિકેશન કોડ સુધી પહોંચી ન હતી અને સમસ્યા જાહેર થઈ ન હતી.
- અસ્પષ્ટ પરીક્ષણો દરમિયાન, NSS માં આવી મર્યાદાઓની ગેરહાજરીમાં આઉટપુટ (10,000 બાઇટ્સ) ના કદ પર કડક મર્યાદાઓ નક્કી કરવામાં આવી હતી (સામાન્ય મોડમાં ઘણી રચનાઓ 10,000 બાઇટ્સ કરતાં મોટી હોઇ શકે છે, તેથી, સમસ્યાઓ ઓળખવા માટે, વધુ ઇનપુટ ડેટાની જરૂર છે. ). સંપૂર્ણ ચકાસણી માટે, મર્યાદા 2 24 -1 બાઇટ્સ (16 MB) હોવી જોઈએ, જે TLS માં માન્ય પ્રમાણપત્રના મહત્તમ કદને અનુરૂપ છે.
- અસ્પષ્ટ પરીક્ષણો દ્વારા કોડ કવરેજ વિશે ગેરસમજ. સંવેદનશીલ કોડનું સક્રિયપણે પરીક્ષણ કરવામાં આવ્યું હતું, પરંતુ ફ્યુઝરનો ઉપયોગ કરીને, જે જરૂરી ઇનપુટ ડેટા જનરેટ કરવામાં અસમર્થ હતા. ઉદાહરણ તરીકે, fuzzer tls_server_target એ આઉટ-ઓફ-ધ-બોક્સ પ્રમાણપત્રોના પૂર્વવ્યાખ્યાયિત સમૂહનો ઉપયોગ કર્યો હતો, જે પ્રમાણપત્ર ચકાસણી કોડની ચકાસણીને માત્ર TLS સંદેશાઓ અને પ્રોટોકોલ સ્ટેટ ફેરફારો સુધી મર્યાદિત કરે છે.
છેલ્લે, ઉલ્લેખનીય છે કે કોડનેમ BigSig ની સમસ્યા NSS 3.73 અને NSS ESR 3.68.1 માં ઠીક કરવામાં આવી છે. અને પેકેજ સ્વરૂપમાં સોલ્યુશનના અપડેટ્સ પહેલાથી જ વિવિધ વિતરણોમાં પ્રકાશિત કરવામાં આવ્યા છે: ડેબિયન, RHEL, ઉબુન્ટુ, SUSE, આર્ક લિનક્સ, જેન્ટુ, ફ્રીબીએસડી, વગેરે.
જો તમે તેના વિશે વધુ જાણવા માંગતા હો, તો તમે સંપર્ક કરી શકો છો નીચેની કડી.