Amazon Linux 2: nss-util (ALAS-2024-2470)

high Nessus プラグイン ID 190695

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている nss-util のバージョンは 3.44.0-4 より前です。したがって、ALAS2-2024-2470 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- 空または不正な形式の p256-ECDH 公開鍵は、値がメモリにコピーされて使用される前に不適切にサニタイズされるため、セグメンテーション違反を誘発する可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 60.8、Firefox < 68、Thunderbird < 60.8です。(CVE-2019-11729)

- ブロック暗号によって暗号化するとき、そのブロックサイズよりも小さいデータでNSC_EncryptUpdateに対する呼び出しが行われた場合、小さな領域外書き込みが引き起こされる可能性があります。これにより、ヒープ破損と悪用可能なクラッシュを引き起こす可能性があります。この脆弱性の影響を受けるのは、Thunderbird < 68.3、Firefox ESR < 68.3、Firefox < 71 です。(CVE-2019-11745)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。