Scientific Linux セキュリティ更新:SL6.x i386/x86_64 の nss と nspr

critical Nessus プラグイン ID 76702

概要

リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。

説明

NSS が特定の証明書を検証していた方法で、競合状態が見つかりました。リモートの攻撃者はこの欠陥を利用して NSS を使用するアプリケーションをクラッシュさせることや、そのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。(CVE-2014-1544)

NSS で TLS False Start を実装する方法に欠陥が見つかりました。攻撃者はこの欠陥を利用して、暗号化されていない情報をサーバーから返す可能性があります。(CVE-2013-1740)

RFC 5077 によって指定されているように、NSS がセッションチケット処理を実装している方法で、競合状態が見つかりました。攻撃者はこの欠陥を利用して NSS を使用するアプリケーションをクラッシュさせることや、ごくまれにそのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。
(CVE-2014-1490)

NSS が脆弱なディフィー・ヘルマン鍵交換(DHKE)パラメーターを承認していたことが判明しました。これにより、クライアントおよびサーバー間の通信に脆弱な暗号化が使用される可能性があります。(CVE-2014-1491)

NSPR に、領域外の書き込みの欠陥が見つかりました。リモートの攻撃者はこの欠陥を利用して NSPR を使用するアプリケーションをクラッシュさせることや、そのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。この NSPR の欠陥は、出荷されているバージョンの Firefox の Web コンテンツには、さらされていませんでした。(CVE-2014-1545)

Internationalizing Domain Names in Applications(IDNA)ホスト名の NSS での実装のマッチングが、RFC 6125 の推奨内容にしたがっていないことが判明しました。これにより、国際文字を含む特定の無効な証明書が有効なものとして承認されることがあります。
(CVE-2014-1492)

さらに、nss パッケージが Upstream バージョン 3.16.1 にアップグレードされており、また nspr パッケージが Upstream バージョン 4.10.6 にアップグレードされています。これらの更新パッケージでは以前のバージョンと比べ、数多くのバグ修正および拡張機能を提供しています。

更新のインストール後、NSS および NSPR を使用するアプリケーションを再起動し、更新を有効にする必要があります。

ソリューション

影響を受けるパッケージを更新してください。

参考資料

http://www.nessus.org/u?348ff2de

プラグインの詳細

深刻度: Critical

ID: 76702

ファイル名: sl_20140722_nss_and_nspr_on_SL6_x.nasl

バージョン: 1.8

タイプ: local

エージェント: unix

公開日: 2014/7/23

更新日: 2021/1/14

サポートされているセンサー: Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: Critical

Base Score: 10

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

脆弱性情報

CPE: p-cpe:/a:fermilab:scientific_linux:nspr, p-cpe:/a:fermilab:scientific_linux:nspr-debuginfo, p-cpe:/a:fermilab:scientific_linux:nspr-devel, p-cpe:/a:fermilab:scientific_linux:nss, p-cpe:/a:fermilab:scientific_linux:nss-debuginfo, p-cpe:/a:fermilab:scientific_linux:nss-devel, p-cpe:/a:fermilab:scientific_linux:nss-pkcs11-devel, p-cpe:/a:fermilab:scientific_linux:nss-sysinit, p-cpe:/a:fermilab:scientific_linux:nss-tools, p-cpe:/a:fermilab:scientific_linux:nss-util, p-cpe:/a:fermilab:scientific_linux:nss-util-debuginfo, p-cpe:/a:fermilab:scientific_linux:nss-util-devel, x-cpe:/o:fermilab:scientific_linux

必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

パッチ公開日: 2014/7/22

脆弱性公開日: 2014/1/18

参照情報

CVE: CVE-2013-1740, CVE-2014-1490, CVE-2014-1491, CVE-2014-1492, CVE-2014-1544, CVE-2014-1545