Falha de Análise NSS PKCS#11 Permite DoS e Divulgação de Informações
Uma vulnerabilidade no tratamento de sequências de escape de URI PKCS#11 do NSS poderia permitir que atacantes travassem a biblioteca ou vazassem dados sensíveis. O Ubuntu lançou atualizações de segurança para resolver o problema em várias distribuições.
TL;DR
- NSS analisa incorretamente sequências de escape de URI PKCS#11, criando um vetor de negação de serviço
- Atacantes podem explorar a falha para extrair informações sensíveis de sistemas afetados
- A vulnerabilidade afeta operações criptográficas que dependem do NSS para tratamento de certificados e chaves
- O patch do Ubuntu USN-8481-1 resolve o defeito de análise em versões suportadas
A biblioteca Network Security Services (NSS), um componente crítico para operações criptográficas e validação de certificados em muitas distribuições Linux e aplicações, contém uma vulnerabilidade de análise em seu tratamento de URI PKCS#11. O pesquisador Haruto Kimura identificou processamento inadequado de sequências de escape que poderia ser explorado por atacantes.
Esta falha apresenta dois riscos de segurança distintos: condições de negação de serviço através de travamentos do NSS e possível exposição de material criptográfico sensível. Organizações executando sistemas Ubuntu devem priorizar a aplicação da atualização de segurança lançada para prevenir exploração.
Detalhes Técnicos da Vulnerabilidade
- NSS falha em analisar corretamente sequências de escape em URIs PKCS#11, um padrão para referências de módulos de segurança de hardware e armazenamento de chaves
- Entradas de URI malformadas podem desencadear exceções não tratadas ou corrupção de memória dentro da biblioteca NSS
- A vulnerabilidade afeta qualquer aplicação ou serviço que use NSS para operações criptográficas e processe URIs PKCS#11 não confiáveis
Impacto de Segurança e Remediação
- Ataques de negação de serviço podem travar serviços dependentes do NSS, interrompendo fluxos de trabalho de autenticação e criptografia
- A divulgação de informações pode permitir que atacantes leiam dados sensíveis da memória durante falhas de análise
- O patch do Ubuntu USN-8481-1 corrige a lógica de tratamento de sequências de escape em versões afetadas do NSS
- Administradores de sistema devem aplicar atualizações imediatamente em todos os sistemas Ubuntu executando versões vulneráveis do NSS
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.