NSS が特定の証明書を検証していた方法で、競合状態が見つかりました。リモートの攻撃者はこの欠陥を利用して NSS を使用するアプリケーションをクラッシュさせることや、そのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。（CVE-2014-1544）

NSS で TLS False Start を実装する方法に欠陥が見つかりました。攻撃者はこの欠陥を利用して、暗号化されていない情報をサーバーから返す可能性があります。（CVE-2013-1740）

RFC 5077 によって指定されているように、NSS がセッションチケット処理を実装している方法で、競合状態が見つかりました。攻撃者はこの欠陥を利用して NSS を使用するアプリケーションをクラッシュさせることや、ごくまれにそのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。
（CVE-2014-1490）

NSS が脆弱なディフィー・ヘルマン鍵交換（DHKE）パラメーターを承認していたことが判明しました。これにより、クライアントおよびサーバー間の通信に脆弱な暗号化が使用される可能性があります。（CVE-2014-1491）

NSPR に、領域外の書き込みの欠陥が見つかりました。リモートの攻撃者はこの欠陥を利用して NSPR を使用するアプリケーションをクラッシュさせることや、そのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。この NSPR の欠陥は、出荷されているバージョンの Firefox の Web コンテンツには、さらされていませんでした。（CVE-2014-1545）

Internationalizing Domain Names in Applications（IDNA）ホスト名の NSS での実装のマッチングが、RFC 6125 の推奨内容にしたがっていないことが判明しました。これにより、国際文字を含む特定の無効な証明書が有効なものとして承認されることがあります。
（CVE-2014-1492）

さらに、nss パッケージが Upstream バージョン 3.16.1 にアップグレードされており、また nspr パッケージが Upstream バージョン 4.10.6 にアップグレードされています。これらの更新パッケージでは以前のバージョンと比べ、数多くのバグ修正および拡張機能を提供しています。

更新のインストール後、NSS および NSPR を使用するアプリケーションを再起動し、更新を有効にする必要があります。

検出

Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の nss と nspr

critical Nessus プラグイン ID 76702

変更ログが見つかりません