Der Google-Forscher Tavis Ormandy hat eine schwerwiegende Sicherheitslücke in der von Mozilla entwickelten Bibliothek Network Security Services (NSS) entdeckt – obwohl Mozilla für seine gründliche Fehlersuche per Fuzzing bekannt ist. Ormandy zufolge führt der Versuch, einen ASN.1-Signatur mit mehr als 16384 Bits zu erstellen, zum Überschreiben von Speicherinhalten.
„Was passiert, wenn man einfach eine Signatur erstellt, die größer ist? Nun, es stellt sich heraus, dass die Antwort Speicherbeschädigung lautet. Ja, wirklich“, schreibt Ormandy in einem Blogeintrag. „Die nicht vertrauenswürdige Signatur wird einfach in diesen Puffer mit fester Größe kopiert, wobei benachbarte Elemente mit beliebigen, vom Angreifer kontrollierten Daten überschrieben werden. Der Fehler ist einfach zu reproduzieren und betrifft mehrere Algorithmen“.
Mozilla zufolge ist Firefox von dem Fehler nicht betroffen. Das Unternehmen schließt aber nicht aus, dass Thunderbird, LibreOffice, Evolution und Evince durch die fehlerhafte Bibliothek angreifbar sind.
Ormandy hat auch eine Vermutung, warum Mozilla der Fehler nicht aufgefallen ist. Dank des modularen Aufbaus von NSS gab es in der Bibliothek keine End-to-End-Tests, da jeder Teil unabhängig voneinander geprüft wurde. Erschwerend kam ihm zuoflge hinzu, dass die Fuzzer eine Eingabebeschränkung von 10.000 Byte haben, während NSS keine solche Grenze kennt.
Unternehmen greifen von überall aus auf die Cloud und Applikationen zu. Dementsprechend reicht das Burg-Prinzip…
Hacker nutzen eine jetzt gepatchte Schwachstelle im Google-Browser bereits aktiv aus. Die neue Chrome-Version stopft…
Microsoft bietet seit Anfang der Woche einen Patch für die Lücke. Kaspersky-Forscher gehen davon aus,…
Das jüngste Update bringt insgesamt zwölf Fixes. Schadcode lässt sich unter Umständen ohne Interaktion mit…
Eine softwarebasierte Workstation soll es Ingenieuren erlauben, sämtliche Steuerungen zentral zu verwalten. Pilotkunde ist Ford.
Kryptodiebstahl und finanzieller Gewinn sind laut ESET-Forschungsbericht die vorrangigen neuen Ziele.