Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

Vigil@nce : Firefox, NSPR, NSS, troncature X.509 avec nul

août 2009 par Vigil@nce

Un attaquant peut inviter la victime à se connecter sur un site
SSL employant un certificat X.509 avec un Common Name contenant un
caractère nul, afin de tromper la victime.

Gravité : 2/4

Conséquences : lecture de données

Provenance : serveur internet

Moyen d’attaque : 1 attaque

Compétence de l’attaquant : technicien (2/4)

Confiance : confirmé par l’éditeur (5/5)

Diffusion de la configuration vulnérable : élevée (3/3)

Date création : 31/07/2009

PRODUITS CONCERNÉS

 Mozilla Firefox
 Red Hat Enterprise Linux
 Unix - plateforme

DESCRIPTION DE LA VULNÉRABILITÉ

Le caractère null (’\0’) est utilisé comme terminateur de chaîne.

Lorsque le Common Name d’un certificat X.509 contient un caractère
nul, la chaîne est tronquée par certains logiciels basés sur
NSPR/NSS (comme Firefox), et la victime pense être sur un site de
confiance.

Un attaquant peut donc inviter la victime à se connecter sur un
site SSL employant un certificat X.509 avec un Common Name
contenant un caractère nul, afin de tromper la victime.

CARACTÉRISTIQUES

Références : 510251, BID-35888, CVE-2009-2408, MFSA 2009-42, MFSA
2009-43, RHSA-2009:1184-01, RHSA-2009:1186-01, RHSA-2009:1190-01,
VIGILANCE-VUL-8908
Pointé dans : VIGILANCE-ACTU-1847, VIGILANCE-VUL-8906,
VIGILANCE-VUL-8913, VIGILANCE-VUL-8919

http://vigilance.fr/vulnerabilite/Firefox-NSPR-NSS-troncature-X-509-avec-nul-8908


Voir les articles précédents

    

Voir les articles suivants