次のパッケージが新しい Upstream バージョンにアップグレードされました：
nss（3.21.0）、nss-util（3.21.0）、nspr（4.11.0）。

セキュリティ修正：

- NSS が DHE（ディフィー・ヘルマン鍵交換）および ECDHE（楕円曲線ディフィー・ヘルマン鍵交換）のハンドシェイクメッセージを処理する方法で、use-after-free の欠陥が見つかりました。リモートの攻撃者が、NSS に対してリンクされたアプリケーションによって解析されたときに、そのアプリケーションをクラッシュさせたり、特定の特別な条件下で、アプリケーションを実行しているユーザーの権限を使用して任意のコードを実行する、特別に細工されたハンドシェイクメッセージを送信する可能性があります。（CVE-2016-1978）

- NSS が特定の DER（Distinguished Encoding Rules）でエンコードされた暗号鍵を処理する方法で、use-after-free の欠陥が見つかりました。攻撃者がこの欠陥を利用して、特別に細工された DER でエンコードされた証明書を作成し、その証明書が NSS ライブラリでコンパイルされたアプリケーションで解析されるときに、アプリケーションをクラッシュさせたり、アプリケーションを実行しているユーザーの権限を使用して任意のコードを実行する可能性があります。（CVE-2016-1979）

バグ修正：

- nss-softokn パッケージは更新され、NSS 3.21 との互換性があります。

検出

Scientific Linux セキュリティ更新：SL7.x x86_64 の nss、nspr、nss-softokn、および nss-util

high Nessus プラグイン ID 90751

変更ログが見つかりません