Vulnerabilidad en la función ssl3_HandleECDHServerKeyExchange en Mozilla Network Security Services (NSS) en Mozilla Firefox (CVE-2016-1978)
Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
13/03/2016
Última modificación:
12/04/2025
Descripción
Vulnerabilidad de uso después de liberación de memoria en la función ssl3_HandleECDHServerKeyExchange en Mozilla Network Security Services (NSS) en versiones anteriores a 3.21, como se utiliza en Mozilla Firefox en versiones anteriores a 44.0, permite a atacantes remotos causar una denegación de servicio o posiblemente tener otro impacto no especificado llevando a cabo un apretón de manos SSL (1) DHE o (2) ECDHE en un momento de alto consumo de memoria.
Impacto
Puntuación base 3.x
7.30
Gravedad 3.x
ALTA
Puntuación base 2.0
7.50
Gravedad 2.0
ALTA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:* | 43.0.4 (incluyendo) | |
cpe:2.3:a:mozilla:network_security_services:*:*:*:*:*:*:*:* | 3.20.1 (incluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://lists.opensuse.org/opensuse-security-announce/2016-03/msg00027.html
- http://lists.opensuse.org/opensuse-security-announce/2016-03/msg00050.html
- http://lists.opensuse.org/opensuse-security-announce/2016-03/msg00068.html
- http://lists.opensuse.org/opensuse-security-announce/2016-03/msg00093.html
- http://rhn.redhat.com/errata/RHSA-2016-0591.html
- http://rhn.redhat.com/errata/RHSA-2016-0684.html
- http://rhn.redhat.com/errata/RHSA-2016-0685.html
- http://www.debian.org/security/2016/dsa-3688
- http://www.mozilla.org/security/announce/2016/mfsa2016-15.html
- http://www.oracle.com/technetwork/security-advisory/cpujul2016-2881720.html
- http://www.oracle.com/technetwork/topics/security/linuxbulletinapr2016-2952096.html
- http://www.oracle.com/technetwork/topics/security/ovmbulletinjul2016-3090546.html
- http://www.securityfocus.com/bid/84275
- http://www.securityfocus.com/bid/91787
- http://www.securitytracker.com/id/1035258
- http://www.ubuntu.com/usn/USN-2973-1
- https://bto.bluecoat.com/security-advisory/sa124
- https://bugzilla.mozilla.org/show_bug.cgi?id=1209546
- https://developer.mozilla.org/en-US/docs/Mozilla/Projects/NSS/NSS_3.21_release_notes
- https://security.gentoo.org/glsa/201605-06
- http://lists.opensuse.org/opensuse-security-announce/2016-03/msg00027.html
- http://lists.opensuse.org/opensuse-security-announce/2016-03/msg00050.html
- http://lists.opensuse.org/opensuse-security-announce/2016-03/msg00068.html
- http://lists.opensuse.org/opensuse-security-announce/2016-03/msg00093.html
- http://rhn.redhat.com/errata/RHSA-2016-0591.html
- http://rhn.redhat.com/errata/RHSA-2016-0684.html
- http://rhn.redhat.com/errata/RHSA-2016-0685.html
- http://www.debian.org/security/2016/dsa-3688
- http://www.mozilla.org/security/announce/2016/mfsa2016-15.html
- http://www.oracle.com/technetwork/security-advisory/cpujul2016-2881720.html
- http://www.oracle.com/technetwork/topics/security/linuxbulletinapr2016-2952096.html
- http://www.oracle.com/technetwork/topics/security/ovmbulletinjul2016-3090546.html
- http://www.securityfocus.com/bid/84275
- http://www.securityfocus.com/bid/91787
- http://www.securitytracker.com/id/1035258
- http://www.ubuntu.com/usn/USN-2973-1
- https://bto.bluecoat.com/security-advisory/sa124
- https://bugzilla.mozilla.org/show_bug.cgi?id=1209546
- https://developer.mozilla.org/en-US/docs/Mozilla/Projects/NSS/NSS_3.21_release_notes
- https://security.gentoo.org/glsa/201605-06