Vulnérabilité de Mozilla NSS : déréférencement de pointeur NULL via CERT_DecodeCertPackage

Synthèse de la vulnérabilité

Un attaquant peut forcer le déréférencement d'un pointeur NULL via CERT_DecodeCertPackage() de Mozilla NSS, afin de mener un déni de service.

Logiciels vulnérables : Debian, Fedora, NSS, ROX, RuggedSwitch, Ubuntu.

Gravité de cette annonce : 2/4.

Date de création : 22/03/2019.

Références de cette vulnérabilité informatique : 1798, CVE-2019-17007, DLA-2015-1, DLA-2388-1, DSA-4579-1, FEDORA-2019-481a343318, SSA-379803, USN-4215-1, VIGILANCE-VUL-28825.

Description de la vulnérabilité

Un attaquant peut forcer le déréférencement d'un pointeur NULL via CERT_DecodeCertPackage() de Mozilla NSS, afin de mener un déni de service.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Cette menace sécurité concerne les logiciels ou systèmes comme Debian, Fedora, NSS, ROX, RuggedSwitch, Ubuntu.

Notre équipe Vigil@nce a déterminé que la gravité de cet avis de faille est moyen.

Le niveau de confiance est de type confirmé par l'éditeur, avec une provenance de document.

Un démonstrateur ou un outil d'attaque est disponible, donc vos équipes doivent traiter cette alerte. Un attaquant avec un niveau de compétence technicien peut exploiter cet avis de vulnérabilité.

Solutions pour cette menace

Mozilla NSS : patch pour CERT_DecodeCertPackage.
Un patch est indiqué dans les sources d'information.

Debian 10 : nouveaux paquetages nss.
De nouveaux paquetages sont disponibles :
Debian 10 : nss 2:3.42.1-1+deb10u2

Debian 8 : nouveaux paquetages nss.
De nouveaux paquetages sont disponibles :
Debian 8 : nss 2:3.26-1+debu8u8

Debian 9 : nouveaux paquetages nss.
De nouveaux paquetages sont disponibles :
Debian 9 : nss 2:3.26.2-1.1+deb9u2

Fedora : nouveaux paquetages nss.
De nouveaux paquetages sont disponibles :
Fedora 30 : nss 3.44.0-2.fc30

RUGGEDCOM ROX : versions corrigées pour Mozilla NSS.
Les versions corrigées sont indiquées dans les sources d'information.

Ubuntu : nouveaux paquetages libnss3.
De nouveaux paquetages sont disponibles :
  Ubuntu 19.04 : libnss3 2:3.42-1ubuntu2.4
  Ubuntu 18.04 LTS : libnss3 2:3.35-2ubuntu2.6
  Ubuntu 16.04 LTS : libnss3 2:3.28.4-0ubuntu0.16.04.9
  Ubuntu 14.04 ESM : libnss3 2:3.28.4-0ubuntu0.14.04.5+esm3
  Ubuntu 12.04 ESM : libnss3 2:3.28.4-0ubuntu0.12.04.6
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Service de veille sur les vulnérabilités informatiques

Vigil@nce fournit un correctif de vulnérabilités informatiques. Le service de veille sur les vulnérabilités informatiques Vigil@nce alerte vos équipes des failles et des menaces qui concernent votre système d'information.