NSS で TLS False Start を実装する方法に欠陥が見つかりました。攻撃者はこの欠陥を利用して、暗号化されていない情報をサーバーから返す可能性があります。（CVE-2013-1740）

RFC 5077 によって指定されているように、NSS がセッションチケット処理を実装している方法で、競合状態が見つかりました。攻撃者はこの欠陥を利用して NSS を使用するアプリケーションをクラッシュさせることや、ごくまれにそのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。
（CVE-2014-1490）

NSS が脆弱なディフィー・ヘルマン鍵交換（DHKE）パラメーターを承認していたことが判明しました。これにより、クライアントおよびサーバー間の通信に脆弱な暗号化が使用される可能性があります。（CVE-2014-1491）

NSPR に、領域外の書き込みの欠陥が見つかりました。リモートの攻撃者はこの欠陥を利用して NSPR を使用するアプリケーションをクラッシュさせることや、そのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。この NSPR の欠陥は、出荷されているバージョンの Firefox の Web コンテンツには、さらされていませんでした。（CVE-2014-1545）

Internationalizing Domain Names in Applications（IDNA）ホスト名の NSS での実装のマッチングが、RFC 6125 の推奨内容にしたがっていないことが判明しました。これにより、国際文字を含む特定の無効な証明書が有効なものとして承認されることがあります。
（CVE-2014-1492）

nss および nspr のパッケージは、Upstream バージョン 3.16.1 と 4.10.6 にそれぞれアップグレードされ、以前のバージョンに対する多数のバグ修正と機能拡張を提供しています。

この更新は以下のバグも修正します：

- 以前は、システムに output.log ファイルがない場合、Network Security Services（NSS）仕様のシェルがテスト結果のエラーをテスト結果の偽陽性として誤って処理していました。結果として、「grep」などの特定のユーティリティがエラーを正しく処理できませんでした。この更新により、仕様ファイルのエラー検出機能が向上し、現在は「grep」などのユーティリティもファイルの欠落やクラッシュを予期していた通りに処理するようになっています。

- この更新が出る前は、ANSSI エージェンシーの下位認証局（CA）が、ネットワーク監視デバイスにインストールする中間証明書を不適切に発行していました。この結果、証明書所持者が所有や管理を行っていないドメイン名や IP アドレスのトラフィック管理を実行する MITM（中間者）プロキシとして監視デバイスを作動させることが可能でした。MITM デバイスの証明書を発行するための中間証明書の信頼が取り消され、このようなデバイスを MITM 攻撃に使用することが不可能となりました。

- 回帰により、デフォルトで MD5 証明書が拒絶されていました。これは、Network Security Services（NSS）が MD5 証明書を信頼していなかったためです。この更新により、Scientific Linux 5 で MD5 証明書がサポートされるようなりました。

検出

Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の nss と nspr

critical Nessus プラグイン ID 77955

変更ログが見つかりません