Mozilla nssのNSC_EncryptUpdate()関数に、ヒープベースのバッファオーバーフローが見つかりました。リモートの攻撃者がSRTPの暗号化操作または復号操作を介してこの欠陥をトリガーし、（nssでコンパイルされた）アプリケーションを実行するユーザーの権限で任意のコードを実行する可能性があります。攻撃の複雑度は高いながら、機密性、整合性、可用性に及ぼす影響も高くなります。（CVE-2019-11745）空または不正な形式のp256-ECDH公開鍵は、値がメモリにコピーされて使用される前に不適切にサニタイズされるため、セグメンテーション違反を引き起こす可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 60.8、Firefox < 68、Thunderbird < 60.8です。（CVE-2019-11729）

検出

Amazon Linux 2：nss（ALAS-2020-1384）

high Nessus プラグイン ID 133094

バージョン 1.2