近日，Mozilla发布了Mozilla NSS（Network Security Services）缓冲区堆溢出的风险通告。NSS验证证书的方式中存在一个远程代码执行缺陷，该缺陷允许冒充TLS/SSL服务器的攻击者对使用NSS编译的客户端触发堆溢出的问题，此外，在使用NSS编译的服务器应用程序中处理客户端证书时也会触发堆溢出的问题。
漏洞信息
漏洞编号：CVE-2021-43527
漏洞评级：高
影响范围：NSS版本小于3.73或小于3.68.1 ESR
详细描述
NSS（Network Security Services）是一组支持跨平台开发安全客户端与服务器应用程序的程序库，提供了服务器侧硬件TLS/SSL加速和客户端侧智能卡的可选支持。
版本小于3.73或小于3.68.1 ESR的NSS，在处理DER编码的DSA或RSA-PSS签名时易发生堆溢出。影响项：
使用NSS处理CMS、S/MIME、PKCS #7或PKCS #12中编码签名的应用程序可能会受到影响。
使用NSS进行证书验证或其他功能（TLS、X.509、OCSP或CRL功能）的应用程序可能会受到影响。
说明
您可以通过curl -V命令查看系统中默认使用的NSS版本信息。
安全建议
通过curl -V命令查看并排查NSS版本是否小于3.73或小于3.68.1 ESR。如果小于请尽快将NSS升级到安全版本。修复命令如下：
yum clean all && yum install -y nss相关链接
CVE-2021-43527: Memory corruption via DER-encoded DSA and RSA-PSS signatures
公告方
阿里云计算有限公司