ื ืงืจืืืืฉ ืืืึทืื ืขืจืึทืืืืืื (CVE-2021-43527) ืืื ืืืืขื ืึทืคืืื ืืื ืื NSS (ื ืขืืืืึธืจืง ืกืขืงืืจืืื ืืึทืืื ืื ืืก) ืืึทื ื ืคืื ืงืจืืคึผืืึธืืจืึทืคืืง ืืืืืจืขืจืื ืืขืืืขืืึธืคึผืขื ืืืจื ืืึธืืืืืึท, ืืืึธืก ืงืขื ืขื ืคืืจื ืฆื ืื ืืืจืืคืืจืื ื ืคืื ืึทืืึทืงืขืจ ืงืึธื ืืืขื ืคึผืจืึทืกืขืกืื ื DSA ืึธืืขืจ RSA-PSS ืืืืืืึทื ืกืืื ืึทืืฉืขืจื ืกืคึผืขืกืืคืืขื ืืื ืื DER ืงืึธืืืจืื ื ืืืคึฟื (ืืืกืืื ืืืืฉืขื ืงืึธืืืจืื ื ืจืืืขืก). ืื ืึทืจืืืกืืขืื, ืงืึธืืขื ืึทืืขื BigSig, ืืื ืกืึทืืืื ืืื NSS 3.73 ืืื NSS ESR 3.68.1. ืคึผืขืงื ืืขืจืืืึทื ืืืงืื ืืขื ืืื ืืืกืืจืืืืืฉืึทื ื ืืขื ืขื ืืืจืขืืืืื ืคึฟืึทืจ ืืขืืืึทื, RHEL, Ubuntu, SUSE, Arch Linux, Gentoo, FreeBSD. ืขืก ืืขื ืขื ื ืึธื ืงืืื ืืขืจืืืึทื ืืืงืื ืืขื ืคึฟืึทืจ ืคืขืืึธืจืึท.
ืืขืจ ืคึผืจืึธืืืขื ืึทืงืขืจื ืืื ืึทืคึผืืึทืงืืืฉืึทื ื ืืืึธืก ื ืืฆื NSS ืฆื ืฉืขืคึผื CMS, S/MIME, PKCS #7 ืืื PKCS #12 ืืืืืืึทื ืกืืื ืึทืืฉืขืจื, ืึธืืขืจ ืืืขื ืืืขืจืึทืคืืืื ื ืกืขืจืืืคืืงืึทืฅ ืืื TLS, X.509, OCSP ืืื CRL ืืืคึผืืึทืืึทื ืฅ. ืื ืืืึทืื ืขืจืึทืืืืืื ืงืขื ืขื ืืขืจืฉืืึทื ืขื ืืื ืคืึทืจืฉืืื ืงืืืขื ื ืืื ืกืขืจืืืขืจ ืึทืคึผืืึทืงืืืฉืึทื ื ืืืึธืก ืฉืืืฆื TLS, DTLS ืืื S/MIME, E- ืืจืืื ืงืืืืึทื ืฅ ืืื ืคึผืืฃ ืืืืืขืจื ืืืึธืก ื ืืฆื ืื NSS CERT_VerifyCertificate () ืจืืคื ืฆื ืืึทืฉืืขืืืงื ืืืืืืึทื ืกืืื ืึทืืฉืขืจื.
LibreOffice, Evolution ืืื Evince ืืขื ืขื ืืขืจืืื ื ืืื ืืืืฉืคืืื ืคืื ืฉืคึผืืจืขืืืืืง ืึทืคึผืืึทืงืืืฉืึทื ื. ืคึผืึทืืขื ืืฉืึทืื, ืื ืคึผืจืึธืืืขื ืงืขื ืืืื ืืืืจืงื ืคึผืจืึทืืืฉืขืงืก ืึทืืึท ืืื Pidgin, Apache OpenOffice, Suricata, Curl, Chrony, Red Hat Directory Server, Red Hat Certificate System, mod_nss ืคึฟืึทืจ ืื Apache http ืกืขืจืืืขืจ, Oracle Communications Messaging Server, Oracle Directory Server Enterprise Edition. ืึธืืขืจ, ืื ืืืึทืื ืขืจืึทืืืืืื ืงืขื ื ืืฉื ืืขืจืฉืืึทื ืขื ืืื Firefox, Thunderbird ืืื Tor Browser, ืืืึธืก ื ืืฆื ืึท ืืึทืืื ืืขืจ ืืึธืืืืืึท :: pkix ืืืืืืึธืืขืง, ืืืื ืึทืจืืึทื ืืขืจืขืื ื ืืื NSS, ืคึฟืึทืจ ืืืขืจืึทืคืึทืงืืืฉืึทื. ืงืจืึธืืืืึทื-ืืืืืจื ืืจืึทืืืขืจื (ืกืืึทืื ืืื ืืขื ืขื ืกืคึผืึทืกืืคืืงืื ืืขืืืื ืืื NSS), ืืืึธืก ืืขืืืืื ื NSS ืืื 2015, ืึธืืขืจ ืืขืืึธืื ืกืืืืืฉื ืฆื BoringSSL, ืืขื ืขื ืืืื ื ืืฉื ืึทืคืขืงืืึทื ืืืจื ืืขื ืคึผืจืึธืืืขื.
ืื ืืืึทืื ืขืจืึทืืืืืื ืืื ืืขืคึฟืืจื ืืืจื ืึท ืืขืืช ืืื ืื ืืึทืืืืึทืื ืืืขืจืึทืคืึทืงืืืฉืึทื ืงืึธื ืืื ืื vfy_CreateContext ืคืื ืงืฆืืข ืคึฟืื ืื secvfy.c ืืขืงืข. ืืขืจ ืืขืืช ืึทืงืขืจื ืืืืืข ืืืขื ืืขืจ ืงืืืขื ื ืืืืขื ื ืึท ืืึทืืืืึทืื ืคืื ืื ืกืขืจืืืขืจ ืืื ืืืขื ืืขืจ ืกืขืจืืืืจืขืจ ืคึผืจืึทืกืขืกืึทื ืงืืืขื ื ืกืขืจืืืคืืงืึทืฅ. ืืืขื ืืืขืจืึทืคืืืื ื ืึท DER-ืขื ืงืึธืื ืืืืืืึทื ืืกืืืข, NSS ืืืงืึธืืื ืื ืืกืืืข ืืื ืึท ืคืึทืจืคืขืกืืืงื-ืืจืืืก ืืึทืคืขืจ ืืื ืคึผืึทืกืื ืื ืืึทืคืขืจ ืฆื ืื PKCS #11 ืืึธืืืืข. ืืขืฉืึทืก ืืืืึทืืขืจ ืคึผืจืึทืกืขืกืื ื, ืื ืืจืืืก ืืื ืคืึทืืฉ ืึธืคึผืืขืฉืืขืื ืคึฟืึทืจ DSA ืืื RSA-PSS ืกืืื ืึทืืฉืขืจื, ืืืึธืก ืคืืจื ืฆื ืึท ืึธืืืืขืจืคืืึธื ืคืื ืื ืืึทืคืขืจ ืึทืืึทืงืืืืื ืคึฟืึทืจ ืื VFYContextStr ืกืืจืืงืืืจ ืืืื ืื ืืจืืืก ืคืื ืื ืืืืืืึทื ืืกืืืข ืืงืกืืื 16384 ืืืฅ (2048 ืืืืขืก ืืขื ืขื ืึทืืึทืงืืืืื ืคึฟืึทืจ ืื ืืึทืคืขืจ, ืึธืืขืจ ืขืก ืืื ื ืืฉื ืึธืคึผืืขืฉืืขืื ืึทื ืื ืืกืืืข ืงืขื ืขื ืืืื ืืจืขืกืขืจ) ).
ืืขืจ ืงืึธื ืืื ืื ืืืึทืื ืขืจืึทืืืืืื ืงืขื ืขื ืืืื ืืจืืืกื ืฆืืจืืง ืฆื 2003, ืึธืืขืจ ืขืก ืืื ื ืืฉื ืืขืืืขื ืึท ืกืึทืงืึธื ืข ืืื ืึท ืจืขืคืึทืงืืึธืจืื ื ืืืจืืืขืงืึธืื ืืื 2012. ืืื 2017, ืืขืจ ืืขืืืืงืขืจ ืืจืืึทื ืืื ืืขืืืื ืืืขื ืืืคึผืืึทืืขื ืื ื RSA-PSS ืฉืืืฆื. ืฆื ืืืจืืคืืจื ืึท ืืึทืคืึทืื, ืึท ืืืื-ืืื ืืขื ืกืืืืข ืืืจ ืคืื ืืืืขืจ ืฉืืืกืืขื ืืื ื ืืฉื ืคืืจืืื ืื ืฆื ืืึทืงืืืขื ืื ื ืืืืืง ืืึทืื, ืืืืึทื ืื ืึธืืืืขืจืคืืึธื ืึทืงืขืจื ืืื ืืขืจ ืืื ืข ืืืืืขืจ ืงืึธื ืืจืึธืืืจื ืื ืจืืืืืง ืคืื ืื ืืืืืืึทื ืืกืืืข. ืืขืจ ืืืื ืคืื ืื ืืึทืื ืืืึธืก ืืืื ืืืืึทืืขืจ ืคืื ืื ืืึทืื ืืจืื ืืื ืืขืฉืจืืื ืฆื ืึท ืืืงืึธืจื ืืขืื ื ืืื ืึธื ืืืืึทื ืฆื ืคืึทื ืืงืฉืึทื ื, ืืืึธืก ืกืืืคึผืืึทืคืืื ืื ืฉืึทืคืื ื ืคืื ืืจืืขืื ืขืงืกืคึผืืืืฅ.
ืื ืืืึทืื ืขืจืึทืืืืืื ืืื ืืืกืงืึทืืืขืจื ืืืจื ืจืืกืขืจืืฉืขืจื ืคืื Google Project Zero ืืฉืขืช ืขืงืกืคึผืขืจืืืขื ื ืืื ื ืืึทืข ืคืึทืืื ื ืืขืกืืื ื ืืขืืืึธืืก ืืื ืืื ืึท ืืื ืืขืืึทื ืกืืจืืืฉืึทื ืคืื ืืื ื ืืฉืืืง ืืืึทืื ืขืจืึทืืืืืืื ืงืขื ืขื ืืืื ืึทื ืืืืขืงืืื ืคึฟืึทืจ ืึท ืืึทื ื ืฆืืึทื ืืื ืึท ืืืืืืื ืืขืกืืขื ืืึทืืืืกื ืคึผืจืืืขืงื:
- ืื NSS ืงืึธื ืืื ืืืื ืืืื ื ืืืจื ืึท ืืงืกืคึผืืจืืึทื ืกื ืืืืขืจืืืื ืืึทื ืฉืึทืคึฟื ืืื ืืึธืืขืจื ืืขืกืืื ื ืืื ืืขืืช ืึทื ืึทืืืกืืก ืืขืงื ืืงืก. ืขืก ืืขื ืขื ืขืืืขืืข ืืืืื ืืื ืคึผืืึทืฅ ืฆื ืืึทืฆืึธืื ืืึทืืืืืืง ืจืืืืึธืจืื ืคึฟืึทืจ ืืืขื ืืืคืืื ื ืืืึทืื ืขืจืึทืืืืืืื ืืื NSS.
- NSS ืืื ืืขืืืขื ืืืื ืขืจ ืคืื ืื ืขืจืฉืืข ืคืจืืืขืงืื ืฆื ืคืึทืจืืื ืื Google ืก ืึธืก-ืคืึทื ืืื ืืฆืืืืืื ืืื ืืื ืืืื ืืขืกืืขื ืืื ืืึธืืืืืึท ืก libFuzzer-ืืืืืจื ืคืื ืืขืกืืื ื ืกืืกืืขื.
- ืืขืจ ืืืืืืึธืืขืง ืงืึธื ืืื ืึธืคึผืืขืฉืืขืื ืคืืืข ืืึธื ืืื ืคืึทืจืฉืืื ืกืืึทืืืง ืึทื ืึทืืืืขืจื, ืึทืจืืึทื ืืขืจืขืื ื ืื ืืึธื ืืืึธืจืื ื ืคืื ืื ืงืึทืืืขืจืืื ืกืขืจืืืืก ืืื ื 2008.
- ืืื 2015, NSS ืืื ืืขื ืืฆื ืืื Google ืงืจืึธืื ืืื ืืื ืื ืืืคึผืขื ืืึทื ืืื ืืืขืจืึทืคืืื ืืืจื ืื Google ืืึทื ืฉืึทืคึฟื ืื ืืืคึผืขื ืืึทื ืืื ืคืื ืืึธืืืืืึท (ืืื ื 2015, ืงืจืึธืื ืกืืืืืฉื ืฆื BoringSSL, ืึธืืขืจ ืฉืืืฆื ืคึฟืึทืจ ืื NSS-ืืืืืจื ืคึผืึธืจื ืืืืืื).
ืื ืืืืคึผื ืคึผืจืึธืืืขืืก ืจืขืื ืฆื ืืืึธืก ืื ืคึผืจืึธืืืขื ืืื ืคืืจืืืืื ืึทื ืืืืขืงืืื ืคึฟืึทืจ ืึท ืืึทื ื ืฆืืึทื:
- ืื NSS ืืึทืืืฉืึทืืขืจ ืืืืืืึธืืขืง ืืื ืคืืืืื ื ืืขืกืืื ื ืืขื ืขื ืืืจืืืขืงืึธืื ื ืื ืืื ืึท ืืึทื ืฅ, ืึธืืขืจ ืืืืฃ ืืขืจ ืืืจืื ืคืื ืืืื ืงืึทืืคึผืึธืื ืึทื ืฅ. ืฆืื ืืืืฉืคึผืื, ืืขืจ ืงืึธื ืคึฟืึทืจ ืืืงืึธืืืื ื DER ืืื ืคึผืจืึทืกืขืกืื ื ืกืขืจืืืคืืงืึทืฅ ืืื ืึธืคึผืืขืฉืืขืื ืกืขืคึผืขืจืึทืืื - ืืขืฉืึทืก ืคืืืืื ื, ืึท ืืึทืืืืึทืื ืงืขื ืืืื ืืืงืืืขื ืืืึธืก ืืืึธืื ืคืืจื ืฆื ืื ืืึทื ืึทืคืขืกืืืืฉืึทื ืคืื ืื ืืืึทืื ืขืจืึทืืืืืื ืืื ืงืฉืื, ืึธืืขืจ ืืืื ืืฉืขืง ืืื ื ืืฉื ืืขืจืืจืืืื ืื ืืืขืจืึทืคืึทืงืืืฉืึทื ืงืึธื ืืื ืื ืคึผืจืึธืืืขื ืืื ื ืืฉื. ืึทื ืืืขืงื ืืื.
- ืืขืฉืึทืก ืคืึทืืื ื ืืขืกืืื ื, ืฉืืจืขื ื ืจืืกืืจืืงืฉืึทื ื ืืขื ืขื ืืึทืฉืืืื ืืืืฃ ืื ืจืขืืืืืึทื ืืจืืืก (10000 ืืืืขืก) ืืื ืืขืจ ืึทืืืขืง ืคืื ืขื ืืขื ืจืืกืืจืืงืฉืึทื ื ืืื NSS (ืคืืืข ืกืืจืึทืงืืฉืขืจื ืืื ื ืึธืจืืึทื ืืึธืืข ืงืขื ืืึธืื ืึท ืืจืืืก ืคืื ืืขืจ ืืื 10000 ืืืืขืก, ืึทืืื ืืขืจ ืึทืจืืึทื ืฉืจืืึทื ืืึทืื ืืื ืคืืจืืื ืื ืฆื ืืืขื ืืืคืืฆืืจื ืคึผืจืึธืืืขืืก) . ืคึฟืึทืจ ืคืื ืืืขืจืึทืคืึทืงืืืฉืึทื, ืื ืฉืืขืืจ ืืึธื ืืืื 224-1 ืืืืขืก (16 ืืขืืืืืืื), ืืืึธืก ืงืึธืจืึทืกืคึผืึทื ืื ืฆื ืื ืืึทืงืกืืืื ืืึทืืืืึทืื ืืจืืืก ืขืจืืืืื ืืื TLS.
- ืืืกืงืึทื ืกืขืคึผืฉืึทื ืืืขืื ืคืึทื ืืขืกืืื ื ืงืึธื ืงืึทืืืขืจืืืืฉ. ืื ืฉืคึผืืจืขืืืืืง ืงืึธื ืืื ืึทืงืืืืืื ืืขืกืืขื, ืึธืืขืจ ืืื ืคืืืืขืจื ืืืึธืก ืืขื ืขื ื ืืฉื ืืืืืืช ืฆื ืืืฉืขื ืขืจืืื ืื ื ืืืืืง ืึทืจืืึทื ืฉืจืืึทื ืืึทืื. ืคึฟืึทืจ ืืืึทืฉืคึผืื, Fuzzer tls_server_target ืืขื ืืฆื ืึท ืคึผืจืขืืขืคืื ืขื ืืึทื ื ืคืื ืคืึทืจืืืง ืกืขืจืืืคืืงืึทืฅ, ืืืึธืก ืืืืืืขื ืื ืืึทืืืืึทืื ืืืขืจืึทืคืึทืงืืืฉืึทื ืงืึธื ืืฉืขืง ืฆื ืืืืื TLS ืึทืจืืืงืืขื ืืื ืคึผืจืึธืืึธืงืึธื ืฉืืึทื ืขื ืืขืจืื ืืขื.
ืืงืืจ: opennet.ru