Existe uma vulnerabilidade onde é possível forçar o Network Security Services (NSS) a assinar o CertificateVerify com assinaturas PKCS#1 v1.5 quando essas são as únicas anunciadas pelo servidor em CertificateRequest no TLS 1.3. As assinaturas PKCS#1 v1.5 não devem ser usadas para mensagens TLS 1.3.
Tag: Network Security Services (NSS)
ASA-2019-00440 – Mozilla Firefox: Out-of-bounds read ao importar a chave privada curve25519
Ao importar uma chave privada curve25519 em PKCS#8format com os principais bytes 0x00, é possível acionar uma out-of-bounds read na biblioteca Network Security Services (NSS). Isso poderia levar à divulgação de informações.