RHEL 5/6/7：nssおよびnss-util（RHSA-2016:2779）
high Nessus プラグイン ID 94912
Language:
概要
リモートのRed Hatホストに1つ以上のセキュリティ更新プログラムがありません。説明
nssおよびnss-utilの更新プログラムが、Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。NSS（Network Security Services）は、セキュリティが有効なクライアントおよびサーバーのアプリケーションのクロスプラットフォーム開発をサポートするライブラリセットです。nss-utilパッケージは、NSS（Network Security Services）ライブラリで使用するためのユーティリティを提供します。次のパッケージが新しいアップストリームバージョンにアップグレードされました：nss（3.21.3）、nss-util（3.21.3）。セキュリティ修正プログラム：* NSSがネットワークからの暗号データを処理する方法に、複数のバッファ処理の欠陥が見つかりました。リモートの攻撃者はこれらの欠陥を利用して、NSSを使用しているアプリケーションをクラッシュさせるか、そのアプリケーションを実行しているユーザーのアクセス許可で任意のコードを実行する可能性があります。（CVE-2016-2834）* NSSが無効なDiffie-Hellmanキーを処理する方法にNULLポインターのデリファレンスの欠陥が見つかりました。リモートクライアントは、この欠陥を利用してNSSを使用しているTLS/SSLサーバーをクラッシュさせる可能性があります。（CVE-2016-5285）* NSSでのDiffie Hellmanクライアントキー交換処理が、小サブグループの限定攻撃に対して脆弱であることがわかりました。攻撃者は、クライアントのDHキーを目的のグループの小さいサブグループに限定することにより、この欠陥を利用して秘密キーを回復する可能性があります。（CVE-2016-8635）Red Hatは、CVE-2016-2834を報告してくれたMozillaプロジェクトに感謝の意を表します。CVE-2016-8635の問題は、Hubert Kario氏（Red Hat）により発見されました。アップストリームは、Tyson Smith氏とJed Davis氏をCVE-2016-2834の最初の報告者として認識しています。ソリューション
影響を受けるパッケージを更新してください。参考資料
http://www.nessus.org/u?ccd971e0
https://access.redhat.com/errata/RHSA-2016:2779
https://access.redhat.com/security/updates/classification/#moderate
https://bugzilla.redhat.com/show_bug.cgi?id=1347908
プラグインの詳細
深刻度: High
ID: 94912
ファイル名: redhat-RHSA-2016-2779.nasl
バージョン: 2.16
タイプ: local
エージェント: unix
公開日: 2016/11/16
更新日: 2025/3/20
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
Vendor
Vendor Severity: Moderate
CVSS v2
リスクファクター: High
基本値: 9.3
現状値: 6.9
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2016-2834
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 7.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:redhat:enterprise_linux:5, p-cpe:/a:redhat:enterprise_linux:nss-pkcs11-devel, p-cpe:/a:redhat:enterprise_linux:nss-devel, p-cpe:/a:redhat:enterprise_linux:nss-tools, p-cpe:/a:redhat:enterprise_linux:nss-util, cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:redhat:enterprise_linux:nss-sysinit, cpe:/o:redhat:enterprise_linux:6, p-cpe:/a:redhat:enterprise_linux:nss-util-devel, p-cpe:/a:redhat:enterprise_linux:nss
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2016/11/16
脆弱性公開日: 2016/6/13
参照情報
CVE: CVE-2016-2834, CVE-2016-5285, CVE-2016-8635
RHSA: 2016:2779