In der von Mozilla bereitgestellten Krypto-Bibliothek Network Security Services (NSS) sorgt ein Speicherfehler für eine kritische Sicherheitslücke. Angreifer könnten damit Schadcode ausführen, heißt es von Mozilla.
Alle NSS-Versionen vor den gepatchten Ausgaben 3.73 oder 3.68.1 ESR seien anfällig für den Heap-Overflow beim Umgang mit DER-kodierten DSA- oder RSA-PSS-Signaturen. Anwendungen, die NSS für die Verarbeitung von Signaturen verwenden, die in CMS, S/MIME, PKCS #7 oder PKCS #12 kodiert sind, seien wahrscheinlich davon betroffen, teilt Mozilla mit.
Der Browser Firefox sei von dieser Sicherheitslücke nicht tangiert, teilt Mozilla mit. Jedoch sei anzunehmen, dass E-Mail-Clients und PDF-Viewer, die NSS für die Signaturprüfung verwenden anfällig sind. Im Security-Advisory sind Thunderbird, LibreOffice, Evolution und Evince als möglicherweise von der Lücke betroffen genannt.
Der Security-Experte Tavis Ormandy hat die Lücke entdeckt, ihr, wegen der fehlschlagenden Signatur-Prüfung den Namen BigSig gegeben und einen Beitrag zur Funktionsweise verfasst.
