リモートの SUSE Linux SLES11ホストには、SUSE-SU-2020:14418-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - PKCS#1v1.5署名がTLS 1.3のCertificateRequestでサーバーによってアドバタイズされた唯一の署名である場合、Network Security Services (NSS ) が v1.5署名によってCertificateVerifyに強制的に署名できる脆弱性があります。PKCS#1 v1.5署名は、TLS 1.3メッセージには使用しないでください。この脆弱性は、Firefox < 68に影響します。 (CVE-2019-11727 )

  - ブロック暗号によって暗号化するとき、そのブロックサイズよりも小さいデータでNSC_EncryptUpdateに対する呼び出しが行われた場合、小さな領域外書き込みが引き起こされる可能性があります。これにより、ヒープ破損と悪用可能なクラッシュを引き起こす可能性があります。この脆弱性の影響を受けるのは、Thunderbird < 68.3、Firefox ESR < 68.3、Firefox < 71 です。(CVE-2019-11745)

  - 3.46より前のNetwork Security Services(NSS)で、いくつかの暗号化プリミティブの長さチェックが行われませんでした。ライブラリを呼び出すアプリケーションが入力のサニティチェックを実行しない場合、バッファオーバーフローによるクラッシュが発生する可能性があります。(CVE-2019-17006)

  - NSS が DSA 署名を実行する際のタイミングに差があったため、悪用され、最終的に秘密鍵を漏洩する可能性がありました。この脆弱性の影響を受けるのは、Thunderbird < 68.9.0、Firefox < 77、およびFirefox ESR < 68.9です。(CVE-2020-12399)

  - RSAキーの生成中、bignumの実装のために、大幅な入力依存のフローを伴う、さまざまなBinary Extended Euclidアルゴリズムが使用されました。これにより、攻撃者が、電磁気ベースのサイドチャネル攻撃を実行して、秘密の素数の回復につながるトレースを記録することができました。
    *注意: * 変更されていないFirefoxブラウザは、通常の操作ではRSAキーを生成しないため影響を受けませんが、その上に構築された製品は影響を受ける可能性があります。この脆弱性の影響を受けるのは、Firefox < 78です。 (CVE-2020-12402 )

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLES11セキュリティ更新プログラム: mozilla-nspr、mozilla-nss(SUSE-SU-2020:14418-1)

critical Nessus プラグイン ID 150659

依存が見つかりません