リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-SUSE-RU-2024:2564-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - FIPS モード使用時の Firefox の起動時のクラッシュを修正しました (bsc#1223724)。
    - 「nss」を必要とする他の RPM をインストールできるように「Provides: nss」を追加します (jira PED-6358)。

    - FIPS: 安全な memsets を追加しました (bsc#1222811)
    - FIPS: AES-GCM を制限します (bsc#1222830)
    - FIPS: FIPS 承認済み暗号リストを更新しました (bsc#1222813、bsc#1222814、bsc#1222821、bsc#1222822、bsc#1224118)
    - FIPS: FIPS セルフテストを更新しました (bsc#1222807、bsc#1222828、bsc#1222834)
    - FIPS: FIPS 承認済み暗号リストを更新しました (bsc#1222804、bsc#1222826、bsc#1222833、bsc#1224113、bsc#1224115、bsc#1224116)

    NSS 3.101.1 への更新:

    * GLOBALTRUST 2020: TLS および S/MIME に対して Distrust After を設定します。

    NSS 3.101 への更新:

    * SFTKObject refcount の診断アサーションを追加します。
    * 認証が失敗した場合に DeleteCertAndKey のスロットを解放します
    * フォーマットの問題を修正します。
    * Firmaprofesional CA Root-A Web を NSS に追加します。
    * 無効な acvp fuzz テストベクトルを削除します。
    * ショート P-384 および P-521 署名 gtests をパディングします。
    * 未使用の FreeBL ECC コードを削除します。
    * ショート P-384 および P-521 署名をパディングします。
    * ECDSA 秘密鍵の長さ制限を緩和します。
    * HACL* P-521 を統合します。
    * HACL* P-384 を統合します。
    * create_objects_from_handles のメモリリーク。
    * すべての入力が mozilla::pkix の数か所で消費されるようにします
    * SMIME/CMS および PKCS #12 が最新の NSS ポリシーと統合されません
    * エスケープ処理をクリーンアップします
    * 古いバリデーターの代わりに lib::pkix をデフォルトのバリデーターとして使用します
    * PQ 署名に高レベルのサポートを追加する必要があります。
    * 証明書の圧縮: バッファの割り当て/解放の変更 + ドキュメントの改善
    * SMIME/CMS および PKCS #12 が最新の NSS ポリシーと統合されません
    * softoken 使用時に不完全な長さの ecdsa 署名を許可します
    * mozlint インデントの欠陥による .taskcluster.yml の変更
    * PKCS#12 で PBMAC1 のサポートを実装します
    * ファジングビルドの VLA 警告を無効にします。
    * 冗長な AllocItem 実装を削除します。
    * PK11_ReadDistrustAfterAttribute を追加します。
    * - SEC_GetMgfTypeByOidTag 更新の Clang フォーマット
    * 自己テストの失敗時に SEC_ERROR_LIBRARY_FAILURE を設定します
    * sftk_getParameters(): configfile のエラー後のデフォルト変数へのフォールバックを修正します。
    * mozillareleases/image_builder イメージに切り替えます

    - ec_field_GFp から ec_field_plain に切り替えます

    NSS 3.100 への更新:

    * Xyber 操作を高速化するために、pk11_kyberSlotList を pk11_ecSlotList にマージします。
    * ckcapi を削除します。
    * 潜在的な PK11GenericObject のメモリリークを回避します。
    * 不完全な ESDH コードを削除します。
    * RSA OAEP で暗号化されたメッセージを復号します。
    * certutil CRLDP URI コードを修正します。
    * CKK_EC_EDWARDS 秘密鍵に対して CKA_DERIVE を設定しません。
    * ECDH を使用して CMS メッセージを暗号化および復号化する機能を追加します。
    * smime/cmsasn.c のキー合意に対してテンプレートを修正します。
    * decodedCert 割り当てを NSS に移動します。
    * 開発者が、証明書に依存する NSS テストのローカルでの繰り返し実行を高速化できるようにします。

    NSS 3.99 への更新:

    * ed25519 のメッセージ len に対するチェックを削除します (bmo#1325335)
    * SECU_ecName2params に ed25519 を追加します。(bmo#1884276)
    * EdDSA wycheproof テストを追加します。(bmo#1325335)
    * EDDSA 用の nss/lib レイヤーコード。(bmo#1325335)
    * EdDSA 実装の追加。(bmo#1325335)
    * 証明書の圧縮タイプのエクスポート (bmo#1881027)
    * ACVP Docker の rust 1.74 への更新 (bmo#1880857)
    * HACL* の 0f136f28935822579c244f287e1d2a1908a7e552 への更新 (bmo#1325335)
    * NSS_CMSRecipient_IsSupported を追加します。(bmo#1877730)

    NSS 3.98 への更新:

    * (CVE-2023-5388) TLS での RSA 復号化に対するタイミング攻撃
    * 証明書の圧縮: 圧縮がアドバタイズされたことのチェックの有効化
    * Windows ワーカーを nss-1/b-win2022-alpha に移動します
    * OISTE WISeKey Global Root GC CA から電子メールトラストビットを削除します
    * 「nss」の「mach」内で、「distutils.spawn.find_executable」を「shutil. which」に置き換えます
    * 証明書の圧縮: 証明書の圧縮をサポートするために nss_bogo_shim を更新します
    * TLS 証明書の圧縮 (RFC 8879) の実装
    * 一定時間の実行テストのために、valgrind 注釈を freebl kyber 演算子に追加します
    * nssckbi のバージョン番号を 2.66 に設定します
    * Telekom Security ルートを追加します
    * D-Trust 2022 S/MIME ルートを追加します
    * 期限切れのセキュリティ通信 RootCA1 root を削除します
    * PK11_ConcatSymKeys で連結をサポートするスロットにキーを移動します
    * メンテナンスされていない tls-interop テストを削除します
    * bogo: -ipv6 と -shim-id の shim フラグのサポートを追加します
    * bogo: -curves shim フラグのサポートを追加し、Kyber の期待値を更新します
    * bogo: キー使用率ビットテストの期待値を調整します
    * mozpkix: 無効なサブジェクト代替名を無視するオプションを追加します
    * -X 値から「publicname:」を削除しない selfserv を修正します
    * ecckilla shim の所有権を取得します
    * freebl/ec.c に valgrind 注釈を追加します
    * PR_INADDR_ANY は、inet.ip への割り当ての前に PR_htonl を必要とします
    * zlib を 1.3.1 に更新します

    NSS 3.97 への更新:

    * ポリシーにより Xyber768d00 をオプトインします
    * xyber768d00 の libssl サポートを追加します
    * PK11_ConcatSymKeys を追加します
    * softoken に Kyber および PKCS#11 KEM インターフェースを追加します
    * Kyber に FreeBL API を追加します
    * パート 2: ベンダー github.com/pq- chromium/kyber/commit/e0d1c6ff
    * パート 1: pq-crystals repokyber から kyber をベンダーにするスクリプトを追加します
    * ローダーから RSA Blind への呼び出しを削除します。*
    * level3 mac タスクのワーカータイプを修正します
    * RSA Blind の実装
    * DSA セルフテストを削除します
    * JSON から KWP テストベクトルを読み取ります
    * changeset dcb174139e4f を取り消しました
    * CKM_PBE_SHA1_DES2_EDE_CBC 派生を修正します
    * gyp 拡張の CC シェルコマンドをラップします

    NSS 3.96.1 への更新:

    * ./build_gyp.sh の MacOS ワーカーに pypi 依存関係を使用します
    * p7sign: -a hash と -u certusage (および p7verify cleanups) を追加します
    * 大きな ssl_DefSend return 戻り値に対する防御チェックを追加します
    * Darwin 用の taskcluster スクリプトに依存関係を追加します
    * CI 用の MacOS ワーカーのアップグレードバージョン

    NSS 3.95 への更新:

    * ビルトインのバージョン番号を更新します。
    * Autoridad de Certificacion Firmaprofesional CIF A62634068 root 証明書から Email トラストビットを削除します。
    * 4 つの DigiCert (Symantec/Verisign) ルート証明書を削除します
    * 3 つの TrustCor ルート証明書を NSS から削除します。
    * Camerfirma ルート証明書を NSS から削除します。
    * 古い Autoridad de Certificacion Firmaprofesional 証明書を削除します。
    * 4 つの Commscope ルート証明書を NSS に追加します。
    * TrustAsia Global Root CA G3 および G4 ルート証明書を追加します。
    * HACL* からの P-384 および P-521 のスカラー検証を含めます
    * HACL* からの P-256 のスカラー検証を含めます。
    * HACL 256 ECC パッチの適用後、NSS は softoken レベルでの DER ラッピングなしに 256 ECC を不適切にエンコードします
    * C_Initialize にライブラリパラメーターを提供する手段を追加します
    * OSXSAVE および XCR0 テストを AVX2 検出に追加します。
    * ssl3_AppendHandshakeNumber の誤字
    * ssl3_AppendHandshakeNumber の入力チェックを導入
    * instance.c の無効なキャストを修正

    NSS 3.94 への更新:

    * HACL* のコードとコミット ID を更新しました
    * ACVP ファジングテストベクトルの更新: 現在の NSS で再ファジング
    * Softoken C_ 呼び出しは、システムの FIPS 設定を使用して、NSC_ または FC_ のバリアントを選択します
    * NSS には、データベースの低レベル表現をダンプできるデータベースツールが必要です
    * pkixnames_tests.cpp で char を使用して文字列リテラルを宣言します
    * ByteString の暗黙的な変換を回避します
    * acvp docker 用の rust バージョンを更新します
    * ec.c でクリーンアップする前の mpi_ints の init 関数の移動
    * HACL* の P-256 ECDH および ECDSA
    * リポジトリに ACVP テストベクトルを追加します
    * std::basic_string<uint8_t> への依存を停止します
    * PPC_ABI チェックを Makefile から gyp に置き換えます

    NSS 3.93 への更新:

    * NSS の zlib を 1.3 に更新します
    * softoken: 長い入力に対して hashUpdate 呼び出しを繰り返します。
    * NameConstraints テスト証明書を再生成します (bsc#1214980)。

    NSS 3.92 への更新:

    * nssckbi のバージョン番号を 2.62 に設定します
    * 4 Atos TrustedRoot Root CA 証明書を NSS に追加します
    * 4 つの SSL.com ルート CA 証明書を追加します
    * Sectigo E46 および R46 ルート CA 証明書を追加します
    * LAWtrust Root CA2 (4096) を追加します
    * E-Tugra Certification Authority root を削除します
    * Camerfirma Chambers of Commerce Root を削除します。
    * Hongkong Post Root CA 1 を削除します
    * E-Tugra Global Root CA ECC v3 および RSA v3 を削除します
    * hppa Linux での BYTE_ORDER の再定義を回避します

    NSS 3.91 への更新:

    * ADX 命令に対する HW サポートチェックの実装
    * Curve25519 のサポートの削除
    * TicketSupportsEarlyData の追加に関するコメントを修正します
    * enable-legacy-db ビルドへの引数の追加
    * 「明示的なデフォルト信頼フラグを持つ certutil ダンプキー」での dbtests.sh の失敗
    * スロット構造でフラグを初期化します
    * RSA 入力の長さチェックを改善し、ヒープオーバーフローを回避します
    * フォローアップ修正
    * m_exptmod ベース符号をチェックし、予期しない入力の処理を回避します
    * order_k に制限チェックを追加し、無限ループを回避します
    * HACL* を更新して 5f6051d2 をコミットします
    * cryptohi および softoken に SHA3 を追加します
    * HACL SHA3
    * X86_64 を除く A に対する ASM C25519 の無効化

    NSS 3.90.3 への更新:

    * GLOBALTRUST 2020: TLS および S/MIME に対して Distrust After を設定します。
    * エスケープ処理をクリーンアップします
    * 冗長な AllocItem 実装を削除します。
    * Curve25519 の ASM サポートを無効にします。
    * X86_64 を除くすべての Curve25519 の ASM サポートを無効にします。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLES12 : mozilla-nss の更新を推奨 (SUSE-SU-SUSE-RU-2024:2564-1)

medium Nessus プラグイン ID 202762

バージョン 1.3