Mandriva Linux セキュリティアドバイザリ：nss（MDVSA-2014:139）
critical Nessus プラグイン ID 76885
Language:
概要
リモート Mandriva Linux ホストには、1 つ以上のセキュリティ更新がありません。説明
mozilla NSS で、脆弱性が発見され、修正されました：31.0 以前の Firefox、24.7 以前の Firefox ESR 24、24.7 以前の Thunderbird で使用される Mozilla Network Security SErvices（NSS）3.x の libnss3.so の CERT_DestoryCertificate 関数の use-after-free 脆弱性により、リモートの攻撃者は、信頼されているドメインから NSSCertificate 構造の特定の不適切な削除をトリガーするベクターから任意のコードを実行することができます（CVE-2014-1544）。
更新済みのパッケージが、この問題に対して脆弱でない最新の NSS（3.16.3）バージョンにアップグレードされました。
MDVSA-2014:125 の一部として行われる nss 3.16.1 の更新は、Upstream の変更により、回帰を導入しました：「フランス政府 root CA ANSSI（DCISS）に課された名前制限」フランス政府 root CA が「gouv.fr」ドメイン以外も契約を取り交わしているため、変更内容は現在実装されたものとして機能しません。したがって、弊社はこれが Upstream を適切に修正するまで当面の間は変更内容を戻しています（mga#13563）。
また、rootcerts パッケージは、2014 年 7 月 3 日現在で最新バージョンに更新されています。この更新では、複数の証明書の追加、削除、信頼解除が行われています。
ソリューション
影響を受けるパッケージを更新してください。参考資料
http://advisories.mageia.org/MGAA-2014-0135.html
https://bugs.mageia.org/show_bug.cgi?id=13563
http://www.nessus.org/u?a9bc9e12
http://www.nessus.org/u?d0ee8a6e
https://www.mozilla.org/security/announce/2014/mfsa2014-63.html
プラグインの詳細
深刻度: Critical
ID: 76885
ファイル名: mandriva_MDVSA-2014-139.nasl
バージョン: 1.7
タイプ: local
公開日: 2014/7/30
更新日: 2021/1/6
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 8.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
脆弱性情報
CPE: p-cpe:/a:mandriva:linux:rootcerts, p-cpe:/a:mandriva:linux:rootcerts-java, cpe:/o:mandriva:business_server:1, p-cpe:/a:mandriva:linux:lib64nss-devel, p-cpe:/a:mandriva:linux:lib64nss-static-devel, p-cpe:/a:mandriva:linux:lib64nss3, p-cpe:/a:mandriva:linux:nss, p-cpe:/a:mandriva:linux:nss-doc
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/Mandrake/release, Host/Mandrake/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2014/7/29
参照情報
CVE: CVE-2014-1544
BID: 68816
MDVSA: 2014:139