Mozilla ha implementado soluciones para corregir una vulnerabilidad crítica en la biblioteca criptográfica multiplataforma de servicios de seguridad de red (NSS, Network Security Services), que podría ser explotada por un adversario para bloquear una aplicación vulnerable e incluso ejecutar código arbitrario.

Recursos afectados:

• versiones de NSS anteriores a la 3.73 o a la 3.68.1 ESR.

Descripción:

La vulnerabilidad tiene como identificador CVE-2021-43527, y consiste en una vulnerabilidad del tipo heap overflow al verificar firmas digitales como los algoritmos DSA y RSA-PSS que se codifican usando el formato binario DER. Es conocida como BigSig, por el nombre que le otorgó Tavis Ormandy de Google Project Zero, a quien se le atribuye su detección, quien expresó que las aplicaciones que utilizan NSS para manejar firmas codificadas en CMS, S/MIME, PKCS #7 o PKCS #12 probablemente se vean afectadas. El fallo, consecuencia de la falta de una comprobación de límites podría permitir la ejecución de código arbitrario controlado por un atacante.

NSS es una colección de bibliotecas informáticas criptográficas de código abierto diseñadas para permitir el desarrollo multiplataforma de aplicaciones cliente-servidor, con soporte para SSL v3, TLS, PKCS #5, PKCS #7, PKCS #11, PKCS #12, S/MIME, certificados X.509 v3 y otros estándares de seguridad.

Aunque el fallo de BigSig no afecta al propio navegador web Firefox de Mozilla, se estima que los clientes de correo electrónico, los visores de PDF y otras aplicaciones que dependen de NSS para la verificación de firmas, como Red Hat, Thunderbird, LibreOffice, Evolution y Evince, son vulnerables. “Se trata de un importante fallo de corrupción de memoria en NSS, casi cualquier uso de NSS está afectado”, aseguró Ormandy. “Si usted es un proveedor que distribuye NSS en sus productos, lo más probable es que tenga que actualizar o hacer un backport del parche”.

Recomendaciones:

• Aplicar las actualizaciones correspondientes.

Referencias:

• https://www.mozilla.org/en-US/security/advisories/mfsa2021-51/
• https://bugs.chromium.org/p/project-zero/issues/detail?id=2237
• https://securityonline.info/cve-2021-43527-nss-buffer-heap-overflow-vulnerability-alert/