<div dir="ltr">Hi nss maintainer(s) and LTS team<div><br></div><div>I have prepared a security update of nss for wheezy to solve the problem described in CVE-2015-4000, for more info see:</div><div><a href="https://security-tracker.debian.org/tracker/CVE-2015-4000">https://security-tracker.debian.org/tracker/CVE-2015-4000</a><br></div><div><br></div><div>One could argue that this is not a problem as the case:</div><div>"when a DHE_EXPORT ciphersuite is enabled on a server but not on a client" in combination with TLS 1.2 is a rather rare combination.<br></div><div>However as this is a library and there are many services using this library it is probably better to be safe than sorry.</div><div><br></div><div>So I have backported the "NSS patch increasing limit to 1023 bits" (see at the bottom of the above CVE link) to the wheezy version.</div><div><br></div><div>For testing I have run the build test suite and it fail just as many times as the previous version. That is 43 failures. So I guess I have not broken anything.</div><div>You can find the test results for deb7u7 in nss-build.txt and the test results for the previous version in nss-build-previousversion.txt.</div><div><br></div><div>There were no tests for this specific case and it turned out that it was non-trivial to make such a test-case. The main reason was that the test server did not have the possibility to enable DHE EXPORT ciphersuite. I could not find any such way at least.</div><div><br></div><div>So I have not been ably to verify that the solution actually works in practice. What I have been able to test is that I have not included any (obvious) regression problem.</div><div><br></div><div>The change also export a new symbol in the library but as it is a new one and no function have used it in the past it should not be an issue as far as I can tell.</div><div><br></div><div>If anyone have a good idea on how to trigger the event described in CVE-2015-4000 (without implementing an entirely new program), please let me know.</div><div><br></div><div>You can find the updated package here:</div><div><a href="http://apt.inguza.net/wheezy-security/nss">http://apt.inguza.net/wheezy-security/nss</a></div><div><br></div><div>And the debdiff here:</div><div><a href="http://apt.inguza.net/wheezy-security/nss/CVE-2015-4000.debdiff">http://apt.inguza.net/wheezy-security/nss/CVE-2015-4000.debdiff</a><br></div><div><br></div><div>If there are no objections I will upload the corrected packages in 4 days, that is on Tuesday next week.</div><div><br></div><div>Best regards,</div><div><br></div><div>// Ola</div><div><div><br></div>-- <br><div class="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div><div><font face="courier new, monospace" size="1"> --- Inguza Technology AB --- MSc in Information Technology ----</font></div><div><font face="courier new, monospace" size="1">/  <a href="mailto:ola@inguza.com" target="_blank">ola@inguza.com</a>                    Folkebogatan 26            \</font></div><div><font face="courier new, monospace" size="1">|  <a href="mailto:opal@debian.org" target="_blank">opal@debian.org</a>                   654 68 KARLSTAD            |</font></div><div><font face="courier new, monospace" size="1">|  <a href="http://inguza.com/" target="_blank">http://inguza.com/</a>                Mobile: +46 (0)70-332 1551 |</font></div><div><font face="courier new, monospace" size="1">\  gpg/f.p.: 7090 A92B 18FE 7994 0C36 4FE4 18A1 B1CF 0FE5 3DD9  /</font></div><div><font face="courier new, monospace" size="1"> ---------------------------------------------------------------</font></div></div><div><br></div></div></div></div></div>
</div></div>