Mozilla プロジェクトによって開発された暗号化ライブラリである NSS にいくつかの脆弱性が発見されました。- CVE-2015-4000     David Adrian 氏たちが、     特定の状況で Diffie-Hellman-based 暗号スイートが攻撃され、     Transport Layer Security (TLS) で暗号化されたデータの機密性     および整合性が侵害される可能性があると     報告しました。- CVE-2015-7181 CVE-2015-7182 CVE-2016-1950     Tyson Smith 氏、David Keeler 氏、Francis Gabriel 氏が、     ASN.1 DER パーサーにヒープベースのバッファオーバーフローがあり、     これにより任意のコードが実行される可能性があることを発見しました。- CVE-2015-7575     Karthikeyan Bhargavan 氏が、TLS クライアントの実装で     受け入れられる Forward Secrecy を使用した TLS 1.2 接続の MD5 ベースの署名が     TLS 接続の意図されるセキュリティの強度を弱める     ことを発見しました。- CVE-2016-1938     Hanno Boeck 氏が、特定の入力の整数の除算の結果が NSS で     誤って計算されたことを発見しました。これにより、     NSS が提供する暗号保護が弱くなる可能性があります。ただし、NSS は RSA-CRT リーク強化を実装するので、RSA     秘密鍵は、この問題では直接公開されません。- CVE-2016-1978     Eric Rescorla 氏が use-after-free の脆弱性が     ECDH-based TLS ハンドシェイクの実装に存在し、     予期しない結果になることを発見しました。- CVE-2016-1979     Tim Taubert 氏が、ASN.1 DER 処理に use-after-free の脆弱性があり、     アプリケーション固有の影響があることを発見しました。- CVE-2016-2834     Tyson Smith 氏と Jed Davis 氏が、     NSS のメモリ安全性のバグを発見しました。さらに、NSS ライブラリは、プロセスの開始時に SUID/SGID/AT_SECURE 遷移を受けるプロセスの環境変数を無視しませんでした。特定のシステム構成では、これによりローカルユーザーが権限を昇格できました。この更新にはさらに、セキュリティに直ちに影響しない、正確性と安定性の修正が含まれています。

検出

Debian DSA-3688-1 : nss - セキュリティ更新 (Logjam) (SLOTH)

critical Nessus プラグイン ID 93871

バージョン 2.10