リモートの MiracleLinux 3 ホストには、AXSA:2013-664:03 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    nss Network Security ServicesNSSは、セキュリティ対応のクライアントおよびサーバーアプリケーションのクロスプラットフォーム開発をサポートするために設計されたライブラリのセットです。NSS で構築されたアプリケーションは、SSL v2 および v3、TLS、PKCS #5、PKCS #7、PKCS #11、PKCS #12、S/MIME、X.509 v3 証明書、およびその他のセキュリティ標準をサポートできます。
    nspr NSPR は、非 GUI オペレーティングシステム機能のプラットフォーム依存性を提供します。これらの機能には、スレッド、スレッド同期、通常のファイルおよびネットワーク I/O、間隔タイミングおよびカレンダー時間、基本的なメモリ管理 (malloc および free) および共有ライブラリリンクが含まれます。
    このリリースで修正されたセキュリティ問題
     CVE-2013-0791 より 20.0前の Mozilla Firefox、 より前の Firefox ESR 17.x 、より 17.0.5前の Thunderbird、 より前 17.0.5のThunderbird ESR 17.x 、より前 17.0.5のSeaMonkey 2.17、その他の 製品では、リモートの攻撃者が、細工された証明書を介してサービス拒否領域外読み取りとメモリ破損を引き起こすことができます。
     CVE-2013-1620 Mozilla Network Security ServicesNSSの TLS 実装は、無効な形式の CBC パディングの処理中に、非準拠 MAC チェック操作でタイミングサイドチャネル攻撃を適切に考慮しません。これにより、リモートの攻撃者が、識別攻撃と平文復元攻撃を介して、区別攻撃と平文復元攻撃を行うことができます。細工されたパケットのタイミングデータの統計分析。これは CVE-2013-0169に関連しています。
    修正されたバグ：
     以前は、ディフィー・ヘルマンDHプロトコルの FreeBL ライブラリ実装に欠陥があり、Openswan の接続が切断していました。これは修正されています。
     nssutil_ReadSecmodDB() 関数のメモリリークを修正しました。
     nss は、呼び出し元によって適切に初期化される前に、呼び出された場合に自身を保護するようになりました。
     以前は、certutil -H コマンドは -F オプションを説明していませんでした。これは修正されました。
     以前は、FreeBL ライブラリのバグにより、Openswan アプリケーションが、ディフィー・ヘルマンDHプロトコルに必要なものよりも 1 バイト短い鍵交換のペイロードを生成するようになり、Openswan で接続が切断されていました。これは修正されました。
     以前は、Spice クライアントが実行されると、remote-viewer ユーティリティがプラグインスマートカードリーダーの利用に失敗し、クライアントが最終的にクラッシュする可能性がありました。これは修正されました。
     さまざまな GCM コードの修正を組み込みました。
    拡張機能：
     楕円曲線暗号に推奨されるアルゴリズムの NIST Suite B セットに対するサポートを追加しました。
    この更新を有効にするためには、インストール後、NSS または NSPR を使用するアプリケーションを再起動する必要があります。

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

MiracleLinux 3nspr-4.9.5-2.AXS3、nss-3.14.3-18.AXS3AXSA:2013-664:03

high Nessus プラグイン ID 291466

バージョン 1.1