Watson Ladd

Nome do software vulnerável e versões afetadas: Versões do OpenSSL anteriores à 3.3 (os módulos FIPS nas versões 3.3, 3.2, 3.1 e 3.0 não são afetados) Descrição: O problema está relacionado à função `SSL free buffers` no OpenSSL, que pode permitir o acesso à memória após ela ter sido liberada em determinadas situações. Isso pode levar à corrupção de dados válidos, falhas no sistema ou execução de código arbitrário. A função é usada para liberar o buffer interno do OpenSSL ao processar um registro recebido da rede. No entanto, foram identificados dois cenários em que o buffer é liberado mesmo quando ainda está em uso. Um invasor mal-intencionado poderia tentar criar uma situação em que isso ocorra, embora não haja conhecimento de que essa vulnerabilidade esteja sendo explorada ativamente. Recomendações: Como solução temporária, considere desativar a função `SSL free buffers` até que um patch esteja disponível. Restrinja o acesso à função `SSL free buffers` vulnerável para minimizar o risco de exploração. Evite usar a função `SSL free buffers` em aplicativos que a chamam diretamente, pois esses são os únicos aplicativos afetados por este problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Mozilla Network Security Services (NSS) versions prior to 3.19.1 Mozilla Firefox versions prior to 39.0 Firefox ESR 31.x versions prior to 31.8 Firefox ESR 38.x versions prior to 38.1 **Description** The issue is related to the improper performance of Elliptical Curve Cryptography (ECC) multiplications, which makes it easier for remote attackers to spoof ECDSA signatures. This can be achieved via unspecified vectors. **Recommendations** For Mozilla Network Security Services (NSS) versions prior to 3.19.1, update to version 3.19.1 or later. For Mozilla Firefox versions prior to 39.0, update to version 39.0 or later. For Firefox ESR 31.x versions prior to 31.8, update to version 31.8 or later. For Firefox ESR 38.x versions prior to 38.1, update to version 38.1 or later.