Scientific Linux セキュリティ更新：i386/x86_64 の SL 5.x のための nspr と nss

high Nessus プラグイン ID 60632

Language:

概要

リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。

説明

CVE-2009-2409 SSL 証明書検証の MD2 を非推奨にします（Kaminsky）CVE-2009-2408 firefox/nss：Common Name で NULL を適切に処理しません CVE-2009-2404 nss 正規表現のヒープオーバーフロー

この更新を含むパッケージは、2009 年 7 月 20 日にリリースされたパッケージと同一のものです。これらは、今日公開されている多くのセキュリティ問題を修正したことから、セキュリティアドバイザリとして再発行されています。これらのパッケージを初めてインストールする場合は、多くのバグ修正や拡張機能の追加も提供されます。これらのパッケージは同一のものであるため、2009 年 7 月 20 日からの nspr/nss パッケージがすでにインストールされている場合は、この更新をインストールする必要はありません。

Netscape Portable Runtime（NSPR）により、非 GUI オペレーティングシステム機能がプラットフォームに依存しなくなります。これらの機能には、スレッド、スレッド同期、通常のファイルとネットワーク I/O、インターバルタイミング、カレンダー時間、基本メモリ管理（malloc および free）、および共有ライブラリリンクを含みます。

Network Security Services（NSS）は、セキュリティが有効なクライアントおよびサーバーのアプリケーションのクロスプラットフォーム開発をサポートするライブラリセットです。NSS でビルドされたアプリケーションは SSLv2、SSLv3、TLS、および他のセキュリティ標準をサポートすることができます。

この更新パッケージでは、NSS を過去バージョンの 3.12.2 からプレリリースバージョンの 3.12.4 にアップグレードします。また、NSPR のバージョンも 4.7.3 から 4.7.4 にアップグレードされます。

Moxie Marlinspike 氏は、証明書のコモンネームを照合するために Mozilla Firefox などのブラウザによって使用されるNSS ライブラリの正規表現パーサーに、ヒープオーバーフローの欠陥があることを報告しました。悪意ある Web サイトが、ヒープオーバーフローを発生させ、注意深く細工された証明書を提示することが可能です。これにより、クラッシュを引き起こしたり、ブラウザを実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。
（CVE-2009-2404）

注：Firefox でこれ以上のユーザーインタラクションなしにこの問題を悪用するためには、注意深く細工された証明書に Firefox が信頼する認証局による署名が必要です。この署名がない場合、Firefox は証明書が信頼されないものであることを被害者に警告します。
その後、ユーザーが証明書を受け入れた場合のみ、オーバーフローが発生します。

Dan Kaminsky 氏は、 Firefox などのブラウザが証明書の NULL 文字を処理する方法に欠陥があることを発見しました。攻撃者が、 Firefox が信頼する認証局による署名がある注意深く細工された証明書を取得できた場合、中間者攻撃の最中にこの証明書を使用し、 Firefox を混乱させて誤ってこれを受け入れさせる可能性があります。（CVE-2009-2408）

Dan Kaminsky 氏は、MD2 が強力な暗号化アルゴリズムだと見なされなくなっているにもかかわらず、ブラウザが MD2 ハッシュ署名のある証明書を受け入れていることを見つけました。これにより攻撃者は、悪意のある証明書を簡単に作成して、ブラウザにその証明書を信頼できるものとして処理させる場合があります。現在、NSS は、署名内の MD2 と MD4 のアルゴリズムの使用をデフォルトで無効にしています。（CVE-2009-2409）