Oracle Linux 8：nspr/nss（ELSA-2019-1951）
high Nessus プラグイン ID 127609
Language:
概要
リモートのOracle Linuxホストに1つ以上のセキュリティ更新プログラムがありません。説明
出典：Red Hat Security Advisory 2019：1951：nssとnsprの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。NSS（Network Security Services）は、セキュリティが有効なクライアントおよびサーバーのアプリケーションのクロスプラットフォーム開発をサポートするライブラリセットです。Netscape Portable Runtime（NSPR）により、非GUIオペレーティングシステム機能がプラットフォームに依存しなくなります。次のパッケージが新しいアップストリームバージョンにアップグレードされました：nss（3.44.0）、nspr（4.21.0）。（BZ#1713187、BZ#1713188）セキュリティ修正プログラム：* nss：複数のCMS関数のNULLポインターデリファレンスによりサービス拒否が発生する（CVE-2018-18508）* nss：curve25519秘密鍵をインポートするときの領域外読み取り（CVE-2019-11719）* nss：空または不正な形式のp256-ECDH公開鍵がセグメンテーション違反をトリガーする可能性（CVE-2019-11729）* nss：PKCS#1 v1.5署名がTLS 1.3に使用される可能性（CVE-2019-11727）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。バグ修正プログラム：*カウントが正しく返されないため、DSA PQGパラメーターの作成時にPQG検証に失敗します。（BZ#1685325）* AESコンテキストのゼロ化の欠落（BZ#1719629）* RSAペアワイズ一貫性テスト（BZ#1719630）* nss-softoken POST用に更新されたFIPS（BZ#1722373）* PGパラメーターのDH/ECDHキーテストの欠落（BZ#1722374）* NSSはシードデータで連続ランダムテストを実装するか、カーネルAF_ALGインターフェイスをランダムに使用（BZ#1725059）* strsclntユーティリティでサポートされている署名アルゴリズムの設定をサポート（BZ#1725110）*パラメーターのないcertutil -Fはセグメンテーション違反メッセージにより強制終了される（BZ#1725115）* NSS：libreswanがEKUに基づいて証明書を拒否せずにnssを使用できるように、IKE/IPsecの一般的なPKIXの使用をサポート（BZ#1725116）* NSSはRNGのシードに/dev/urandomではなくgetentropy()を使用。NSS 3.37への更新が必要（BZ#1725117）* FIPSモードでTLS 1.3を無効にする（BZ#1725773）*クライアントがTLS 1.3でPKCS#1署名を使用すると誤ったアラートが送信される（BZ#1728259）* FIPSモードでx25519が許可される（BZ#1728260）* SSL_ENABLE_SESSION_TICKETSが設定されている場合、selfservを使用したポストハンドシェイク認証が機能しない（BZ#1728261）拡張機能：* IKEv1とIKEv2 KDFをlibreswanからnss-softknに移動（BZ#1719628）ソリューション
影響を受けるnsprやnssパッケージを更新してください。参考資料
https://oss.oracle.com/pipermail/el-errata/2019-August/009011.html
プラグインの詳細
深刻度: High
ID: 127609
ファイル名: oraclelinux_ELSA-2019-1951.nasl
バージョン: 1.4
タイプ: local
エージェント: unix
公開日: 2019/8/12
更新日: 2022/5/19
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.6
CVSS v2
リスクファクター: Medium
基本値: 5
現状値: 3.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS スコアのソース: CVE-2019-11727
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2019-11719
脆弱性情報
CPE: p-cpe:/a:oracle:linux:nspr, p-cpe:/a:oracle:linux:nspr-devel, p-cpe:/a:oracle:linux:nss, p-cpe:/a:oracle:linux:nss-devel, p-cpe:/a:oracle:linux:nss-softokn, p-cpe:/a:oracle:linux:nss-softokn-devel, p-cpe:/a:oracle:linux:nss-softokn-freebl, p-cpe:/a:oracle:linux:nss-softokn-freebl-devel, p-cpe:/a:oracle:linux:nss-sysinit, p-cpe:/a:oracle:linux:nss-tools, p-cpe:/a:oracle:linux:nss-util, p-cpe:/a:oracle:linux:nss-util-devel, cpe:/o:oracle:linux:8
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2019/8/6
脆弱性公開日: 2019/7/23
参照情報
CVE: CVE-2018-18508, CVE-2019-11719, CVE-2019-11727, CVE-2019-11729
RHSA: 2019:1951