漏洞信息详情

Mozilla NSS空字符CA SSL证书验证绕过安全限制漏洞

• CNNVD编号：CNNVD-200907-442
• 危害等级： 中危
  
• CVE编号： CVE-2009-2408
• 漏洞类型： 输入验证错误
• 发布时间： 2009-07-30
• 威胁类型： 远程
• 更新时间： 2019-07-16
• 厂        商： mozilla
• 漏洞来源： Dan KaminskyMoxie ...

漏洞简介

Mozilla Network Security Services（NSS）是美国Mozilla基金会的一个函数库（网络安全服务库）。该产品可跨平台提供SSL、S/MIME和其他Internet安全标准支持。

NSS库在处理SSL客户端与发布服务器证书的CA之间SSL证书中域名的时候存在不匹配的情况。如果恶意用户从带有无效空字符的主机名请求了证书，只要请求者拥有空字符后指定的域，大多数CA都会发布证书，但大多数SSL客户端(浏览器)都会忽略这部分名称，使用空字符之前没有验证的部分，这就允许攻击者在中间人攻击中使用伪造的证书，建立错误的信任关系 。

漏洞公告

目前厂商已经发布了升级补丁以修复这个安全问题，补丁下载链接：

Ubuntu Ubuntu Linux 8.10 powerpc

Ubuntu libnspr4-0d-dbg_4.7.5-0ubuntu0.8.10.1_powerpc.deb

http://ports.ubuntu.com/pool/main/n/nspr/libnspr4-0d-dbg_4.7.5-0ubuntu 0.8.10.1_powerpc.deb

Ubuntu libnspr4-0d_4.7.5-0ubuntu0.8.10.1_powerpc.deb

http://ports.ubuntu.com/pool/main/n/nspr/libnspr4-0d_4.7.5-0ubuntu0.8. 10.1_powerpc.deb

Ubuntu libnspr4-dev_4.7.5-0ubuntu0.8.10.1_powerpc.deb

http://ports.ubuntu.com/pool/main/n/nspr/libnspr4-dev_4.7.5-0ubuntu0.8 .10.1_powerpc.deb

Ubuntu libnss3-0d_3.12.3.1-0ubuntu0.8.10.1_powerpc.deb

http://ports.ubuntu.com/pool/universe/n/nss/libnss3-0d_3.12.3.1-0ubunt u0.8.10.1_powerpc.deb

Ubuntu libnss3-1d-dbg_3.12.3.1-0ubuntu0.8.10.1_powerpc.deb

http://ports.ubuntu.com/pool/main/n/nss/libnss3-1d-dbg_3.12.3.1-0ubunt u0.8.10.1_powerpc.deb

Ubuntu libnss3-1d_3.12.3.1-0ubuntu0.8.10.1_powerpc.deb

http://ports.ubuntu.com/pool/main/n/nss/libnss3-1d_3.12.3.1-0ubuntu0.8 .10.1_powerpc.deb

Ubuntu libnss3-dev_3.12.3.1-0ubuntu0.8.10.1_powerpc.deb

http://ports.ubuntu.com/pool/main/n/nss/libnss3-dev_3.12.3.1-0ubuntu0. 8.10.1_powerpc.deb

Ubuntu libnss3-tools_3.12.3.1-0ubuntu0.8.10.1_powerpc.deb

http://ports.ubuntu.com/pool/universe/n/nss/libnss3-tools_3.12.3.1-0ub untu0.8.10.1_powerpc.deb

Ubuntu mozilla-thunderbird-dev_2.0.0.23+build1+nobinonly-0ubuntu0.8.10.1_all.deb

http://security.ubuntu.com/ubuntu/pool/main/t/thunderbird/mozilla-thun derbird-dev_2.0.0.23+build1+nobinonly-0ubuntu0.8.10.1_all.deb

Ubuntu mozilla-thunderbird_2.0.0.23+build1+nobinonly-0ubuntu0.8.10.1_all.deb

http://security.ubuntu.com/ubuntu/pool/main/t/thunderbird/mozilla-thun derbird_2.0.0.23+build1+nobinonly-0ubuntu0.8.10.1_all.deb

Ubuntu thunderbird-dev_2.0.0.23+build1+nobinonly-0ubuntu0.8.10.1_powerpc.deb

http://ports.ubuntu.com/pool/main/t/thunderbird/thunderbird-dev_2.0.0. 23+build1+nobinonly-0ubuntu0.8.10.1_powerpc.deb

Ubuntu thunderbird-gnome-support_2.0.0.23+build1+nobinonly-0ubuntu0.8.10.1_powerpc.deb

http://ports.ubuntu.com/pool/main/t/thunderbird/thunderbird-gnome-supp ort_2.0.0.23+build1+nobinonly-0ubuntu0.8.10.1_powerpc.deb

Ubuntu thunderbird_2.0.0.23+build1+nobinonly-0ubuntu0.8.10.1_powerpc.deb

http://ports.ubuntu.com/pool/main/t/thunderbird/thunderbird_2.0.0.23+b uild1+nobinonly-0ubuntu0.8.10.1_powerpc.deb

Slackware Linux 12.2

Slackware mozilla-Firefox-3.0.13-i686-1.tgz

ftp://ftp.slackware.com/pub/slackware/slackware-12.2/patches/packages/ mozilla-Firefox-3.0.13-i686-1.tgz

Slackware seamonkey-1.1.18-i486-1_slack12.2.tgz

ftp://ftp.slackware.com/pub/slackware/slackware-12.2/patches/packages/ seamonkey-1.1.18-i486-1_slack12.2.tgz

Debian Linux 5.0 alpha

Debian libnss3-1d-dbg_3.12.3.1-0lenny1_alpha.deb

http://security.debian.org/pool/updates/main/n/nss/libnss3-1d-dbg_3.12 .3.1-0lenny1_alpha.deb

Debian libnss3-1d_3.12.3.1-0lenny1_alpha.deb

http://security.debian.org/pool/updates/main/n/nss/libnss3-1d_3.12.3.1 -0lenny1_alpha.deb

Debian libnss3-dev_3.12.3.1-0lenny1_alpha.deb

http://security.debian.org/pool/updates/main/n/nss/libnss3-dev_3.12.3. 1-0lenny1_alpha.deb

Debian libnss3-tools_3.12.3.1-0lenny1_alpha.deb

http://security.debian.org/pool/updates/main/n/nss/libnss3-tools_3.12. 3.1-0lenny1_alpha.deb

Ubuntu Ubuntu Linux 9.04 sparc

Ubuntu libnspr4-0d-dbg_4.7.5-0ubuntu0.9.04.1_sparc.deb

http://ports.ubuntu.com/pool/main/n/nspr/libnspr4-0d-dbg_4.7.5-0ubuntu 0.9.04.1_sparc.deb

Ubuntu libnspr4-0d_4.7.5-0ubuntu0.9.04.1_sparc.deb

http://ports.ubuntu.com/pool/main/n/nspr/libnspr4-0d_4.7.5-0ubuntu0.9. 04.1_sparc.deb

Ubuntu libnspr4-dev_4.7.5-0ubuntu0.9.04.1_sparc.deb

http://ports.ubuntu.com/pool/main/n/nspr/libnspr4-dev_4.7.5-0ubuntu0.9 .04.1_sparc.deb

Ubuntu libnss3-0d_3.12.3.1-0ubuntu0.9.04.1_sparc.deb

http://ports.ubuntu.com/pool/universe/n/nss/libnss3-0d_3.12.3.1-0ubunt u0.9.04.1_sparc.deb

Ubuntu libnss3-1d-dbg_3.12.3.1-0ubuntu0.9.04.1_sparc.deb

http://ports.ubuntu.com/pool/main/n/nss/libnss3-1d-dbg_3.12.3.1-0ubunt u0.9.04.1_sparc.deb

Ubuntu libnss3-1d_3.12.3.1-0ubuntu0.9.04.1_sparc.deb

http://ports.ubuntu.com/pool/main/n/nss/libnss3-1d_3.12.3.1-0ubuntu0.9 .

参考网址

来源:kb.juniper.net

链接:http://kb.juniper.net/InfoCenter/index?page=content&id=jsA10939

来源:www.auscert.org.au

链接:https://www.auscert.org.au/bulletins/ESB-2019.2561/

受影响实体

• Mozilla Firefox:1.5.0.11  
• Mozilla Firefox:1.5.0.3  
• Mozilla Firefox:1.5.0.2  
• Mozilla Firefox:1.5.0.5  
• Mozilla Firefox:1.4.1  

补丁

暂无