Red Hat セキュリティアドバイザリ 2014:1246 から：

複数のセキュリティ問題といくつかのバグを修正し、多様な拡張機能を追加する更新済みの nss および nspr パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Network Security Services（NSS）は、セキュリティが有効なクライアントおよびサーバーのアプリケーションのクロスプラットフォーム開発をサポートするライブラリセットです。

NSS で TLS False Start を実装する方法に欠陥が見つかりました。攻撃者はこの欠陥を利用して、暗号化されていない情報をサーバーから返す可能性があります。（CVE-2013-1740）

RFC 5077 によって指定されているように、NSS がセッションチケット処理を実装している方法で、競合状態が見つかりました。攻撃者はこの欠陥を利用して NSS を使用するアプリケーションをクラッシュさせることや、ごくまれにそのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。
（CVE-2014-1490）

NSS が脆弱なディフィー・ヘルマン鍵交換（DHKE）パラメーターを承認していたことが判明しました。これにより、クライアントおよびサーバー間の通信に脆弱な暗号化が使用される可能性があります。（CVE-2014-1491）

NSPR に、領域外の書き込みの欠陥が見つかりました。リモートの攻撃者はこの欠陥を利用して NSPR を使用するアプリケーションをクラッシュさせることや、そのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。この NSPR の欠陥は、出荷されているバージョンの Firefox の Web コンテンツには、さらされていませんでした。（CVE-2014-1545）

Internationalizing Domain Names in Applications（IDNA）ホスト名の NSS での実装のマッチングが、RFC 6125 の推奨内容にしたがっていないことが判明しました。これにより、国際文字を含む特定の無効な証明書が有効なものとして承認されることがあります。
（CVE-2014-1492）

Red Hat は、CVE-2014-1490、CVE-2014-1491、CVE-2014-1545 の問題を報告してくれた Mozilla プロジェクトに感謝の意を表します。Upstream は Brian Smith 氏を CVE-2014-1490、 Antoine Delignat-Lavaud 氏および Karthikeyan Bhargavan 氏を CVE-2014-1491、Abhishek Arya 氏を CVE-2014-1545 の最初の報告者として認めます。

nss および nspr のパッケージは、Upstream バージョン 3.16.1 と 4.10.6 にそれぞれアップグレードされ、以前のバージョンに対する多数のバグ修正と機能拡張を提供しています。（BZ#1110857、BZ#1110860）

この更新は以下のバグも修正します：

* 以前は、システムに output.log ファイルがない場合、 Network Security Services（NSS）仕様のシェルがテスト結果のエラーをテスト結果の偽陽性として誤って処理していました。
結果として、「grep」などの特定のユーティリティがエラーを正しく処理できませんでした。この更新により、仕様ファイルのエラー検出機能が向上し、現在は「grep」などのユーティリティもファイルの欠落やクラッシュを予期していた通りに処理するようになっています。（BZ#1035281）

* この更新が出る前は、ANSSI エージェンシーの下位認証局（CA）が、ネットワーク監視デバイスにインストールする中間証明書を不適切に発行していました。この結果、証明書所持者が所有や管理を行っていないドメイン名や IP アドレスのトラフィック管理を実行する MITM（中間者）プロキシとして監視デバイスを作動させることが可能でした。MITM デバイスの証明書を発行するための中間証明書の信頼が取り消され、このようなデバイスを MITM 攻撃に使用することが不可能となりました。（BZ#1042684）

* 回帰により、デフォルトで MD5 証明書が拒絶されていました。これは、Network Security Services（NSS）が MD5 証明書を信頼していなかったためです。この更新により、 Red Hat Enterprise Linux 5 で MD5 証明書がサポートされるようになっています。（BZ#11015864）

nss および nspr のユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正し、これらの拡張機能を追加することが推奨されます。

検出

Oracle Linux 5：nspr/nss（ELSA-2014-1246）

critical Nessus プラグイン ID 77739

変更ログが見つかりません