検出

openSUSE セキュリティ更新：apache2-mod_nss （openSUSE-SU-2013:1956-1）

medium Nessus プラグイン ID 74874

Language:

概要

リモート openSUSE ホストに、セキュリティ更新がありません。

説明

- mod_nss-CVE-2013-4566-NSSVerifyClient.diff が CVE-2013-4566 を修正します：サーバー/vhost コンテキストで「NSSVerifyClient none」が設定され（すなわち、サーバーが最初の接続時にクライアント証明書の認証をリクエストしない/義務付けないように構成されている）、また「NSSVerifyClient require」設定により、特定のディレクトリに対するクライアント証明書の認証を義務付けることが想定されていた場合、mod_nss は証明書認証を適切に義務付けることができません。リモートの攻撃者がこれを利用して、制限されたディレクトリのコンテンツにアクセスする可能性があります。[bnc#853039]

- グルードキュメントが /etc/apache2/conf.d/mod_nss.conf に追加されました：

- mod_ssl と mod_nss の同時使用

- SNI 同時実行

- apache 構成用の SUSE フレームワーク、ディレクティブをリッスンします

- モジュールの初期化

- mod_nss-conf.patch は、それぞれ nss.conf.in または mod_nss.conf のスクラッチバージョンによって廃止されました。また、これは mod_nss-negotiate.patch と mod_nss-tlsv1_1.patch の特定のチャンクの nss.conf の削除にもつながります。

- mod_nss_migrate.pl 変換スクリプトが追加されました。ソースからはパッチ適用されませんが、部分的に書き換えられます。

- 証明書と鍵の変換と管理方法に関する詳細な手順と、SLES に mod_nss が含まれた理由に関する論理的解釈が記載された README-SUSE.txt が追加されました。

- パッケージの提出の用意が整いました [bnc#847216]

- パッケージの全体的なクリーンアップ：

- 明示的に必要：mozilla-nss >= 3.15.1 へ更新。TLS-1.2 サポートはこのバージョンで提供されるためです - これは、apache2-mod_nss のこのバージョン更新の目的です。トラッカーバグ [bnc#847216]

- 曖昧に解釈されたディレクトリの名前を回避するために、パス /etc/apache2/alias を /etc/apache2/mod_nss.d に変更します。

- /etc/apache2/alias が存在する場合は、/etc/apache2/alias のコンテンツを /etc/apache2/mod_nss.d にマージします。

- /etc/apache2/mod_nss.d の %post 生成済み *.db ファイルに対して明示的なファイルモード 640 を設定します

ソリューション

影響を受ける apache2-mod_nss パッケージを更新してください。

参考資料

https://bugzilla.novell.com/show_bug.cgi?id=847216

https://bugzilla.novell.com/show_bug.cgi?id=853039

https://lists.opensuse.org/opensuse-updates/2013-12/msg00118.html

プラグインの詳細

深刻度: Medium

ID: 74874

ファイル名: openSUSE-2013-1030.nasl

バージョン: 1.4

タイプ: local

エージェント: unix

公開日: 2014/6/13

更新日: 2021/1/19

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Low

スコア: 3.7

CVSS v2

リスクファクター: Medium

基本値: 4

ベクトル: CVSS2#AV:N/AC:H/Au:N/C:P/I:P/A:N

脆弱性情報

CPE: p-cpe:/a:novell:opensuse:apache2-mod_nss, p-cpe:/a:novell:opensuse:apache2-mod_nss-debuginfo, p-cpe:/a:novell:opensuse:apache2-mod_nss-debugsource, cpe:/o:novell:opensuse:13.1

必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list

パッチ公開日: 2013/12/17

参照情報

CVE: CVE-2013-4566