DFN-CERT-2013-0553 Schwachstelle in Nss [Linux][Fedora]

- 14. März 2013

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket nss
Paket nss-softokn
Paket nspr
Paket nss-util

Betroffene Plattformen:

Fedora 17

Eine Schwachstelle in NSS, NSPR, NSS Softoken Cryptographic Module und
Utilities für NSS ermöglicht einem entfernten Angreifer schlimmstenfalls
Zugriff auf die verschlüsselt übertragenen Daten zu erlangen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://dl.fedoraproject.org/pub/fedora/linux/updates/

CVE-2013-1620: Schwachstelle in TLS-Implementierung von NSS

In der TLS-Implementierung von NSS existieren Unterschiede im Zeitverhalten
bei der Verarbeitung von gültigem und ungültigem CBC-Padding. Dies
ermöglicht einem entfernten Angreifer durch das Senden von präparierten
Paketen und dem anschließenden Auswerten der Reaktionszeiten, Zugriff auf
die verschlüsselt übertragenen Daten zu erlangen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-0553/

Das Hersteller Advisory:
http://lists.fedoraproject.org/pipermail/package-announce/2013-March/100070.html
http://lists.fedoraproject.org/pipermail/package-announce/2013-March/100069.html
http://lists.fedoraproject.org/pipermail/package-announce/2013-March/100071.html
http://lists.fedoraproject.org/pipermail/package-announce/2013-March/100068.html

Schwachstelle CVE-2013-1620:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1620