Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の nss と nspr
critical Nessus プラグイン ID 77955
Language:
概要
リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。説明
NSS で TLS False Start を実装する方法に欠陥が見つかりました。攻撃者はこの欠陥を利用して、暗号化されていない情報をサーバーから返す可能性があります。（CVE-2013-1740）RFC 5077 によって指定されているように、NSS がセッションチケット処理を実装している方法で、競合状態が見つかりました。攻撃者はこの欠陥を利用して NSS を使用するアプリケーションをクラッシュさせることや、ごくまれにそのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。
（CVE-2014-1490）
NSS が脆弱なディフィー・ヘルマン鍵交換（DHKE）パラメーターを承認していたことが判明しました。これにより、クライアントおよびサーバー間の通信に脆弱な暗号化が使用される可能性があります。（CVE-2014-1491）
NSPR に、領域外の書き込みの欠陥が見つかりました。リモートの攻撃者はこの欠陥を利用して NSPR を使用するアプリケーションをクラッシュさせることや、そのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。この NSPR の欠陥は、出荷されているバージョンの Firefox の Web コンテンツには、さらされていませんでした。（CVE-2014-1545）
Internationalizing Domain Names in Applications（IDNA）ホスト名の NSS での実装のマッチングが、RFC 6125 の推奨内容にしたがっていないことが判明しました。これにより、国際文字を含む特定の無効な証明書が有効なものとして承認されることがあります。
（CVE-2014-1492）
nss および nspr のパッケージは、Upstream バージョン 3.16.1 と 4.10.6 にそれぞれアップグレードされ、以前のバージョンに対する多数のバグ修正と機能拡張を提供しています。
この更新は以下のバグも修正します：
- 以前は、システムに output.log ファイルがない場合、Network Security Services（NSS）仕様のシェルがテスト結果のエラーをテスト結果の偽陽性として誤って処理していました。結果として、「grep」などの特定のユーティリティがエラーを正しく処理できませんでした。この更新により、仕様ファイルのエラー検出機能が向上し、現在は「grep」などのユーティリティもファイルの欠落やクラッシュを予期していた通りに処理するようになっています。
- この更新が出る前は、ANSSI エージェンシーの下位認証局（CA）が、ネットワーク監視デバイスにインストールする中間証明書を不適切に発行していました。この結果、証明書所持者が所有や管理を行っていないドメイン名や IP アドレスのトラフィック管理を実行する MITM（中間者）プロキシとして監視デバイスを作動させることが可能でした。MITM デバイスの証明書を発行するための中間証明書の信頼が取り消され、このようなデバイスを MITM 攻撃に使用することが不可能となりました。
- 回帰により、デフォルトで MD5 証明書が拒絶されていました。これは、Network Security Services（NSS）が MD5 証明書を信頼していなかったためです。この更新により、Scientific Linux 5 で MD5 証明書がサポートされるようなりました。
ソリューション
影響を受けるパッケージを更新してください。参考資料
プラグインの詳細
深刻度: Critical
ID: 77955
ファイル名: sl_20140916_nss_and_nspr_on_SL5_x.nasl
バージョン: 1.6
タイプ: local
エージェント: unix
公開日: 2014/9/29
更新日: 2021/1/14
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: Critical
基本値: 10
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
脆弱性情報
CPE: p-cpe:/a:fermilab:scientific_linux:nss, p-cpe:/a:fermilab:scientific_linux:nss-debuginfo, p-cpe:/a:fermilab:scientific_linux:nss-devel, p-cpe:/a:fermilab:scientific_linux:nss-pkcs11-devel, p-cpe:/a:fermilab:scientific_linux:nss-tools, x-cpe:/o:fermilab:scientific_linux
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
パッチ公開日: 2014/9/16
脆弱性公開日: 2014/1/18
参照情報
CVE: CVE-2013-1740, CVE-2014-1490, CVE-2014-1491, CVE-2014-1492, CVE-2014-1545