Google は、 Mozilla の root プログラムの認証局である TURKTRUST が 2 つの中間証明書を顧客に誤って発行していたことを、Mozilla に報告しました。この問題は、 Firefox 特有のものではなく、証明書の 1 つが、顧客が合法的に所有またはコントロールしていないドメイン名の中間者（MITM）トラフィック管理に使用されていたことを示す証拠が見つかりました。この問題は、これらの特定の誤って発行された証明書に対する信頼を取り消すことにより解決されました（CVE-2013-0743）。

rootcerts パッケージがアップグレードされて、この欠陥が対処され、 Mozilla NSS パッケージが再構築されて変更を取り入れました。

Mozilla Network Security Services（NSS）の TLS の実装では、無効な形式の CBC パディングの処理中に、不適合な MAC チェック操作でのタイミングサイドチャネル攻撃を適切に考慮していません。これにより、リモートの攻撃者は、細工されたパケットのタイミングデータの統計分析を通じて、識別攻撃や平文回復攻撃を仕掛けることができます。これは CVE-2013-0169 に関連する問題です（CVE-2013-1620）。

NSPR パッケージは、新しい NSS の依存関係のため、バージョン 4.9.5 にアップグレードされました。

NSS パッケージは、この問題に対して脆弱ではないバージョン　3.14.3 にアップグレードされています。

sqlite3 の更新は、エクスポート MALLOC_CHECK_=3 の後に svn コミットを使用する際に生じるクラッシュに対処します。

検出

Mandriva Linux セキュリティアドバイザリ：nss（MDVSA-2013:050）

medium Nessus プラグイン ID 66064

変更ログが見つかりません