RHEL 8：nss and nspr（RHSA-2019:1951）
high Nessus プラグイン ID 127636
Language:
概要
リモートのRed Hatホストに1つ以上のセキュリティ更新プログラムがありません。説明
nssとnsprの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。NSS（Network Security Services）は、セキュリティが有効なクライアントおよびサーバーのアプリケーションのクロスプラットフォーム開発をサポートするライブラリセットです。Netscape Portable Runtime（NSPR）により、非GUIオペレーティングシステム機能がプラットフォームに依存しなくなります。次のパッケージが新しいアップストリームバージョンにアップグレードされました：nss（3.44.0）、nspr（4.21.0）。（BZ#1713187、BZ#1713188）セキュリティ修正プログラム：* nss：複数のCMS関数のNULLポインターデリファレンスによりサービス拒否が発生する（CVE-2018-18508）* nss：curve25519秘密鍵をインポートするときの領域外読み取り（CVE-2019-11719）* nss：空または不正な形式のp256-ECDH公開鍵がセグメンテーション違反をトリガーする可能性（CVE-2019-11729）* nss：PKCS#1 v1.5署名がTLS 1.3に使用される可能性（CVE-2019-11727）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。バグ修正プログラム：*カウントが正しく返されないため、DSA PQGパラメーターの作成時にPQG検証に失敗します。（BZ#1685325）* AESコンテキストのゼロ化の欠落（BZ#1719629）* RSAペアワイズ一貫性テスト（BZ#1719630）* nss-softoken POST用に更新されたFIPS（BZ#1722373）* PGパラメーターのDH/ECDHキーテストの欠落（BZ#1722374）* NSSはシードデータで連続ランダムテストを実装するか、カーネルAF_ALGインターフェイスをランダムに使用（BZ#1725059）* strsclntユーティリティでサポートされている署名アルゴリズムの設定をサポート（BZ#1725110）*パラメーターのないcertutil -Fはセグメンテーション違反メッセージにより強制終了される（BZ#1725115）* NSS：libreswanがEKUに基づいて証明書を拒否せずにnssを使用できるように、IKE/IPsecの一般的なPKIXの使用をサポート（BZ#1725116）* NSSはRNGのシードに/dev/urandomではなくgetentropy()を使用。NSS 3.37への更新が必要（BZ#1725117）* FIPSモードでTLS 1.3を無効にする（BZ#1725773）*クライアントがTLS 1.3でPKCS#1署名を使用すると誤ったアラートが送信される（BZ#1728259）* FIPSモードでx25519が許可される（BZ#1728260）* SSL_ENABLE_SESSION_TICKETSが設定されている場合、selfservを使用したポストハンドシェイク認証が機能しない（BZ#1728261）拡張機能：* IKEv1とIKEv2 KDFをlibreswanからnss-softknに移動（BZ#1719628）ソリューション
影響を受けるパッケージを更新してください。参考資料
http://www.nessus.org/u?d8286550
https://access.redhat.com/errata/RHSA-2019:1951
https://access.redhat.com/security/updates/classification/#moderate
https://bugzilla.redhat.com/show_bug.cgi?id=1671310
https://bugzilla.redhat.com/show_bug.cgi?id=1685325
https://bugzilla.redhat.com/show_bug.cgi?id=1719629
https://bugzilla.redhat.com/show_bug.cgi?id=1719630
https://bugzilla.redhat.com/show_bug.cgi?id=1722373
https://bugzilla.redhat.com/show_bug.cgi?id=1722374
https://bugzilla.redhat.com/show_bug.cgi?id=1725059
https://bugzilla.redhat.com/show_bug.cgi?id=1725110
https://bugzilla.redhat.com/show_bug.cgi?id=1725115
https://bugzilla.redhat.com/show_bug.cgi?id=1725116
https://bugzilla.redhat.com/show_bug.cgi?id=1728259
https://bugzilla.redhat.com/show_bug.cgi?id=1728260
https://bugzilla.redhat.com/show_bug.cgi?id=1728261
https://bugzilla.redhat.com/show_bug.cgi?id=1728436
プラグインの詳細
深刻度: High
ID: 127636
ファイル名: redhat-RHSA-2019-1951.nasl
バージョン: 1.8
タイプ: local
エージェント: unix
公開日: 2019/8/12
更新日: 2024/4/27
サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.4
CVSS v2
リスクファクター: Medium
基本値: 5
現状値: 3.9
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS スコアのソース: CVE-2019-11727
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2019-11719
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:nspr, p-cpe:/a:redhat:enterprise_linux:nspr-devel, p-cpe:/a:redhat:enterprise_linux:nss, p-cpe:/a:redhat:enterprise_linux:nss-devel, p-cpe:/a:redhat:enterprise_linux:nss-softokn, p-cpe:/a:redhat:enterprise_linux:nss-softokn-devel, p-cpe:/a:redhat:enterprise_linux:nss-softokn-freebl, p-cpe:/a:redhat:enterprise_linux:nss-softokn-freebl-devel, p-cpe:/a:redhat:enterprise_linux:nss-sysinit, p-cpe:/a:redhat:enterprise_linux:nss-tools, p-cpe:/a:redhat:enterprise_linux:nss-util, p-cpe:/a:redhat:enterprise_linux:nss-util-devel, cpe:/o:redhat:enterprise_linux:8
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2019/7/30
脆弱性公開日: 2019/7/23
参照情報
CVE: CVE-2018-18508, CVE-2019-11719, CVE-2019-11727, CVE-2019-11729, CVE-2019-17007