このlynisの更新では、次の問題が修正されます：

lynis 2.5.1：

  - SSL証明書ファイルの検出を改善しました

  - ロギングと結果を改善するためのマイナーな変更

  - ファイアウォールテスト：CSPがテストモードにあるかどうかを判断します

更新には、Lynis 2.5.0からの変更も含まれています：

  - CVE-2017-8108：シンボリックリンク攻撃は、任意のファイルの上書きまたは特権昇格を可能にする可能性がありました（boo#1043463）

  - データベースファイルから未使用のテストを削除しました

  - 追加のsysctlがテストされます

  - Symantecコンポーネントでテストを拡張しました

  - Snort検出

  - Snort構成ファイル

この更新には、Lynis 2.4.8（2.4.1からの変更ログ ）も含まれています

  - さらにPHPパスが追加されました

  - テキストに対するマイナーな変更

  - アトミックテストをレポートに表示します

  - FileInstalledByPackage関数を追加しました（dpkgとrpmがサポートされます）

  - Arch Linuxのバージョンを（不明の代わりに）ローリングリリースとしてマークします

  - Manjaro Linuxのサポート

  - 読み取り可能かどうかをテストする際にファイルをエスケープします

  - コードのクリーンアップ

  - ホストエイリアスをプロファイルで指定できるようにします

  - コードの読みやすさの向上

  - Solarisサポートが改善されています

  - アップロード機能がプロファイルから使用されるように修正します

  - --verboseが使用されている場合を除いて、メールセクションの画面出力を抑制します

  - コードのクリーンアップと削除された「update release」コマンド

  - カラー出力がプロファイルで調整できるようになりました（colors=yes/no）

  - データアップロードをプロファイルオプションとして設定できるようにします

  - SSHデーモンのバージョンを正しく検出します

  - 汎用コードの改善

  - 更新のチェックと表示を改善しました

  - フィンランド語、ポルトガル語、およびトルコ語の翻訳

  - DragonFlyBSDのサポートとテストを拡張しました

  - プロファイルでhostidとhostid2を構成するためのオプション

  - Trend MicroとCylanceのサポート（macOS）

  - nginx構成の末尾にあるコメントを削除します

  - SSHキーが使用できない場合に、マシンIDを使用してホストIDを作成しました

  - iptables-saveの検出をバイナリに追加しました

およびLynis 2.4.0 

  - 主に、macOSユーザーのサポートを改善しました

  - CoreOSのサポート

  - clamconfユーティリティのサポート

  - 中国語の翻訳のサポート

  - デフォルトプロファイル内のsysctl値を増やしました

  - 新しいコマンド：「upload-only」、「show hostids」、「show Environment」、「show os」

このChromiumのバージョン66.0.3359.117への更新では、次の問題が修正されます：

修正されたセキュリティ問題（boo#1090000）：

  - CVE-2018-6085：ディスクキャッシュにおけるメモリ解放後使用（Use-After-Free）

  - CVE-2018-6086：ディスクキャッシュにおけるメモリ解放後使用（Use-After-Free）

  - CVE-2018-6087：WebAssemblyにおけるメモリ解放後使用（Use After Free）

  - CVE-2018-6088：PDFiumにおけるメモリ解放後使用（Use-After-Free）

  - CVE-2018-6089：Service Workerの同一オリジンポリシーバイパス

  - CVE-2018-6090：Skiaにおけるヒープバッファオーバーフロー

  - CVE-2018-6091：Service Workerによるプラグインの不適切な処理

  - CVE-2018-6092：WebAssemblyにおける整数オーバーフロー

  - CVE-2018-6093：Service Workerの同一オリジンバイパス

  - CVE-2018-6094：Oilpanにおける悪化したリグレッションの悪用

  - CVE-2018-6095：ファイルアップロード前の有効なユーザー接続要求の欠如

  - CVE-2018-6096：フルスクリーンUIのなりすまし

  - CVE-2018-6097：フルスクリーンUIのなりすまし

  - CVE-2018-6098：OmniboxにおけるURLなりすまし

  - CVE-2018-6099：ServiceWorkerにおけるCORSバイパス

  - CVE-2018-6100：OmniboxにおけるURLなりすまし

  - CVE-2018-6101：DevToolsのリモートデバッグプロトコルの保護が不十分 

  - CVE-2018-6102：OmniboxにおけるURLなりすまし

  - CVE-2018-6103：権限におけるのUIなりすまし

  - CVE-2018-6104：OmniboxにおけるURLなりすまし

  - CVE-2018-6105：OmniboxにおけるURLなりすまし

  - CVE-2018-6106：V8におけるプロミスの不適切な処理

  - CVE-2018-6107：OmniboxにおけるURLなりすまし

  - CVE-2018-6108：OmniboxにおけるURLなりすまし

  - CVE-2018-6109：FileAPIによるファイルの不適切な処理

  - CVE-2018-6110：file: // 

  - CVE-2018-6111：Devツールにおけるheap-use-after-free

  - CVE-2018-6112：DevToolsにおける誤ったURL処理

  - CVE-2018-6113：ナビゲーションにおけるURLなりすまし

  - CVE-2018-6114：CSP バイパス

  - CVE-2018-6115：ダウンロードの際のSmartScreenバイパス

  - CVE-2018-6116：WebAssemblyにおける低メモリの不適切な処理

  - CVE-2018-6117：わかりにくいオートフィル設定

  - 内部監査、ファジング、およびその他のイニシアチブからのさまざまな修正。この更新は、Spectreの脆弱性に対する緩和策もサポートしています：「厳密なサイト分離」がほとんどのユーザーに対して無効になっています。次の方法で有効にすることができます：
    chrome：//flags/#enable-site-per-process この機能は、ごく一部のトライアルを受けています。次の方法でトライアルを抜けることができます：
    chrome：//flags/#site-isolation-trial-opt-out

他にも次のような変更が含まれています：

  - 2016年6月1日より前にSymantecによって発行された証明書を信頼しません

  - 保存されたパスワードをエクスポートするためのオプションを追加します

  - 音を伴って自動再生される動画を減らします

  - boo#1086199：大きな画像をロード/スケールダウンする際のUIフリーズを修正します

この更新には、多数のUpstreamのバグ修正と改善も含まれています。

Mozilla Firefoxは、Firefox ESRリリース45.9に更新されました。Mozilla NSSは、TLS 1.3（ほとんどリリースドラフト）とさまざまな新しい暗号、PRF、Diffie Hellmanキー合意、およびより多くのハッシュのサポートをサポートするように更新されました。Firefoxで修正されたセキュリティ問題（bsc#1035082）

  - MFSA 2017-11/CVE-2017-5469：flex生成コードの潜在的なバッファオーバーフロー

  - MFSA 2017-11/CVE-2017-5429：Firefox 53、Firefox ESR 45.9、Firefox ESR 52.1で修正されたメモリの安全性のバグ

  - MFSA 2017-11/CVE-2017-5439：XSLT処理中のnsTArray Length()のメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5438：XSLT処理中のnsAutoPtrのメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5436：Graphite 2の悪意のあるフォントを使用した領域外書き込み

  - MFSA 2017-11/CVE-2017-5435：エディターでのトランザクション処理中のメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5434：フォーカス処理時のメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5433：SMILアニメーション関数でのメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5432：テキスト入力選択のメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5464：アクセシビリティとDOM操作によるメモリ破損

  - MFSA 2017-11/CVE-2017-5465：ConvolvePixelでの領域外読み取り

  - MFSA 2017-11/CVE-2017-5460：フレーム選択でのメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5448：ClearKeyDecryptorでの領域外書き込み

  - MFSA 2017-11/CVE-2017-5446：HTTP/2 DATAフレームが不正なデータと一緒に送信された場合の領域外読み取り

  - MFSA 2017-11/CVE-2017-5447：グリフ処理中の領域外読み取り

  - MFSA 2017-11/CVE-2017-5444：application/http-index-formatコンテンツの解析中のバッファオーバーフロー

  - MFSA 2017-11/CVE-2017-5445：application/http-index-formatコンテンツの解析中に使用される初期化されていない値

  - MFSA 2017-11/CVE-2017-5442：スタイル変更中のメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5443：BinHexデコーディング中の領域外書き込み

  - MFSA 2017-11/CVE-2017-5440：XSLT処理中のtxExecutionStateデストラクタのメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5441：スクロールイベント中の選択に伴うメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5459：WebGL Mozilla NSSのバッファオーバーフローが3.29.5に更新され、新しい機能が追加され、バグが修正されました：

  - NSS 3.29.5への更新

  - MFSA 2017-11/CVE-2017-5461：base 64デコーダーおよびエンコーダーの稀なクラッシュが修正されました。

  - MFSA 2017-11/CVE-2017-5462：RNGのキャリーオーバーバグが修正されました。

  - CVE-2016-9574：SessionTicket拡張およびECDHE-ECDSAを使用する際のセッションハンドシェイク中のリモートDoS（bsc#1015499）。

  - NSPR 4.13.1 が必要

  - NSS 3.29.3への更新

  - デフォルトでTLS 1.3を有効にします

  - ハッシュ計算（およびブール値のシフトに関するエラーを出力するGCC 7を使用したビルド）におけるバグを修正しました。
    （bsc#1030071、bmo#1348767）

  - NSS 3.28.3への更新。これは、バイナリ互換性の問題を修正するためのパッチリリースです。

  - NSS 3.28.1への更新。これは、ルートCA証明書のリストを更新するためのパッチリリースです。

  - 次のCA証明書が削除されました。CN = Buypass Class 2 CA 1 CN = Root CA Generalitat Valenciano OU = RSA Security 2048 V3

  - 次のCA証明書が追加されました。OU = AC RAIZ FNMT-RCM CN = Amazon Root CA 1 CN = Amazon Root CA 2 CN = Amazon Root CA 3 CN = Amazon Root CA 4 CN = LuxTrust Global Root 2 CN = Symantec Class 1 Publicプライマリ証明機関-G4 CN = Symantec Class 1 Public Primary Certification Authority-G6 CN = Symantec Class 2 Public Primary Certification Authority
    - G4 CN = Symantec Class 2 Public Primary Certification Authority - G6

  - 更新済み root CA リストのバージョン番号は、2.11 に設定されました

  - NSS 3.28への更新。新機能：

  - NSSには、TLS 1.3ドラフト-18のサポートが含まれています。これには、TLS 1.3に対する多数の改善が含まれます：

  - 証明書の透明性で使用される署名付きの証明書タイムスタンプは、TLS 1.3でサポートされています。

  - TLS 1.3]のキーエクスポーターがサポートされています。これには、0-RTTが有効な場合に使用可能な早期キーエクスポーターが含まれています。TLS 1.3と古いバージョンのTLSのキーエクスポーターの間には違いがあることに注意してください。TLS 1.3は、空のコンテキストとコンテキストなしを区別しません。

  - NSSの構築時にNSS_ENABLE_TLS_1_3=1を定義することで、TLS 1.3（ドラフト）プロトコルを有効にできます。

  - NSSにはX25519キー交換アルゴリズムのサポートが含まれており、これはすべてのバージョンのTLSでデフォルトでサポートされ、有効になります。主な変更内容：

  - NSSは、追加の楕円曲線のサポートを使用してコンパイルできなくなりました。これは、以前、特定のNSSソースファイルを置き換えることで可能でした。

  - NSSは、現在、追加の楕円曲線をサポートするトークンの存在を検出し、それらの曲線をTLSで使用できるようにします。この検出には一時的なパフォーマンスコストがかかりますが、SSL_NamedGroupConfig関数を使用して、サポートされるグループをNSSが提供するものに制限することで回避できることに注意してください。

  - TLSのPKCS#11バイパスは、サポートが終了し、削除されています。

  - 「export」グレードのSSL/TLS暗号スイートのサポートが削除されました。

  - NSSは、現在、TLS 1.3の署名スキーム定義を使用します。これはTLS 1.2にも影響します。NSSは、現在、TLS 1.2を交渉する場合でも、TLS 1.3で定義されたハッシュと署名スキームの組み合わせのみを使用して署名を生成します。

  - これは、SHA-256がP-256 ECDSA証明書でのみ、SHA-384がP-384証明書でのみ、SHA-512がP-521証明書でのみ使用されることを意味します。下位互換性の理由から、SHA-1は任意の証明書で許可されます（TLS 1.2のみ）。

  - NSSは、共通にサポートされている署名スキームがない場合に、デフォルトの署名スキームがピアによってサポートされていると想定しなくなりました。

  - NSSは、TLSに使用する前に、秘密キーを保持しているトークンによってRSA-PSS署名がサポートされているかどうかを確認するようになりました。

  - 証明書検証コードには、2016年10月21日以降に古いWoSignとStartCom CAによって発行された証明書を信頼しないようにするためのチェックが含まれています。これは、MozillaがFirefox 51でリリースする動作と同じです。

  - NSS 3.27.2への更新

  - SSL_SetTrustAnchorsの漏洩を修正しました（bmo#1318561）

  - （boo#1021636）で報告されているように、softokn/freeblの最小バージョンを3.28に上げました

  - NSS 3.26.2への更新。新機能：

  - selfservテストユーティリティが拡張され、ALPN（HTTP/1.1）および0-RTTに対応しました

  - Fedora Linuxで利用可能なシステム全体の暗号ポリシーのサポートを追加しました。http://fedoraproject.org/wiki/Changes/CryptoPolicyを参照してください

  - ビルドフラグNSS_DISABLE_LIBPKIXを導入しました。これにより、libpkixライブラリなしでNSSをコンパイルできます。主な変更点：

  - 次のCA証明書が追加されました：CN = ISRG Root X1

  - デフォルトでNPNは無効、ALPNは有効です

  - 現在のNSSテストスイートは、実験的なTLS 1.3コードを有効にして最終版とされています

  - NISTの既知の回答テストを含む、いくつかのテストの改善と追加。3.26.2の変更点

  - CertificateRequestメッセージでサーバーから送信されたMD5署名アルゴリズムが、適切に無視されるようになりました。
    以前は、稀なサーバー構成で、MD5署名アルゴリズムがクライアント認証に選択され、その直後にクライアントの接続が中断されていました。

  - NSS 3.25への更新。新機能：

  - TLS 1.3用にDHEキーの承諾を実装しました

  - TLS 1.3によるChaChaのサポートを追加しました

  - SHA384をPRFとしてを使用するTLS 1.2暗号スイートのサポートを追加しました

  - 以前のバージョンでは、TLS 1.2でクライアント認証を使用している場合に、NSSがPRFで使用されているものと同じ署名ハッシュアルゴリズムを使用する、certificate_verifyメッセージのみをサポートしていました。この制限が削除されました。
    重要な変更点：

  - SSLソケットは、TLS 1.3とSSLv3の両方を許可するように構成できなくなりました。

  - 回帰の修正：アプリケーションがSSLv2プロトコルの無効化を試みた場合に、NSSが失敗を報告しなくなりました。

  - 信頼できるCA証明書のリストがバージョン2.8に更新されました

  - 次の CA 証明書が削除されました：Sonera Class1 CA

  - 次のCA証明書が追加されました：Hellenic Academic and Research Instruments RootCA 2015 Hellenic Academic and Research Instruments ECC RootCA 2015 Certplus Root CA G1 Certplus Root CA G2 OpenTrust Root CA G1 OpenTrust Root CA G2 OpenTrust Root CA G3

  - NSS 3.24への更新。新機能：

  - NSS softokenは最新の米国立標準技術大学（NIST）のガイダンスで更新されました（2015年時点）：

  - 共有ライブラリのロードで、ソフトウェア整合性チェックとPOST機能が実行されます。パフォーマンスの回帰を引き起こす可能性があるため、これらのチェックはデフォルトで無効になっていました。これらのチェックを有効にするには、NSSの構築時にシンボルNSS_FORCE_FIPSを定義する必要があります。

  - カウンターモードとGalois/Counter Mode（GCM）には、カウンターのオーバーフローを防ぐためのチェックが含まれています。

  - 追加のCSPがコードで0にされます。

  - NSS softokenは、プライムサイズに基づいてプライムを検証するために必要なRabin-Millerテストの数に関する新しいガイダンスを使用します。

  - NSS softokenが更新され、NSSをFIPS レベル 1（パスワードなし）で実行できるようになりました。このモードは、データベースパスワードを空の文字列に設定することでトリガーされます。FIPSモードでは、レベル1からレベル2へ移動する（適切なパスワードの設定により）ことはできますが、その逆はできません。

  - SSL_ConfigServerCert関数が、証明書と秘密キーでSSL/TLSサーバーソケットを構成するために追加されました。SSL_ConfigSecureServer、SSL_ConfigSecureServerWithCertChain、SSL_SetStapledOCSPResponses、およびSSL_SetSignedCertTimestampsの代わりにこの新しい関数を使用します。SSL_ConfigServerCertは、証明書と秘密キーから証明書タイプを自動的に判断します。呼び出し側は、証明書が（証明書ではなく、キーの承諾タイプを不適切に識別する）ように構成された「スロット」を選択するために、明示的にSSLKEATypeを使用する必要がなくなりました。オンライン証明書状態プロトコル（OCSP）のレスポンスまたは署名証明書タイムスタンプを構成するための個別の関数は必要ありません。これらは、SSL_ConfigServerCertに提供されるオプションのSSLExtraServerCertData構造体に追加できるためです。また、RSA Probabilistic Signature Scheme（RSA-PSS）の証明書に対する部分的なサポートが追加されました。これらの証明書は構成できますが、このバージョンのNSSでは使用されません。

  - タイプSSLCipherSuiteInfoのメンバー属性authAlgorithmを廃止します。代わりに、アプリケーションは新しく追加された属性authTypeを使用する必要があります。

  - Linuxプラットフォームで、FREEBL_LOWHASHを定義する共有ライブラリ（libfreeblpriv3）を追加します。

  - SSL v2 に関連するほとんどのコードを削除します。これには、SSLv2 との互換性がある client hello をアクティブに送信する機能も含まれます。ただし、SSL/TLSプロトコルのサーバー側実装は、受信したv2互換のクライアントhelloメッセージの処理を引き続きサポートします。

  - SSLKEYLOGFILE環境変数が設定されている場合に、SSL/TLSキーマテリアルをログファイルに記録するための最適化されたビルドのNSSサポートを無効にします（デフォルト）。最適化されたビルド内の機能を有効にするには、NSSのビルド時にシンボルNSS_ALLOW_SSLKEYLOGFILEを定義する必要があります。

  - Cachebleed攻撃に対して保護するようにNSSを更新します。

  - DTLS 圧縮のサポートを無効にします。

  - TLS 1.3 のサポートを向上します。これは、DTLS 1.3 のサポートを含みます。TLS 1.3サポートは実験用であり、実稼働での使用には適していないことに注意してください。

  - NSS 3.23への更新。新機能：

  - ChaCha20/Poly1305 暗号および TLS 暗号化パッケージがサポートされています

  - TLS 1.3 1-RTTモードを実験専用としてサポートします（draft-11）。
    このコードは、実稼働で使用する準備ができていません。重要な変更点：

  - TLS ハンドシェイクで送信された TLS 拡張リストの順番が変更され、サーバーに対する Extended Master Secret の互換性が向上しました

  - ビルド時間環境変数NSS_ENABLE_ZLIBがNSS_SSL_ENABLE_ZLIBに名前が変更されました

  - ビルド時間環境変数NSS_DISABLE_CHACHAPOLYが追加されました。これは、ChaCha20/Poly1305コードのコンパイルを防ぐために使用できます。

  - 次のCA証明書が削除されました

  - Staat der Nederlanden Root CA

  - NetLock Minositett Kozjegyzoi (Class QA) Tanusitvanykiado

  - NetLock Kozjegyzoi (Class A) Tanusitvanykiado

  - NetLock Uzleti（Class B）Tanusitvanykiado

  - NetLock Expressz (Class C) Tanusitvanykiado

  - VeriSign Class 1 Public PCA - G2

  - VeriSign Class 3 Public PCA

  - VeriSign Class 3 Public PCA - G2

  - CA Disig

  - 次のCA証明書が追加されました

  + SZAFIR ROOT CA2

  + Certum Trusted Network CA 2

  - 次のCA証明書では、電子メールトラストビットがオンになっていました

  + Actalis Authentication Root CA。セキュリティ修正：

  - CVE-2016-2834：メモリの安全性に関するバグ（boo#983639）MFSA-2016-61 bmo#1206283 bmo#1221620 bmo#1241034 bmo#1241037

  - NSS 3.22.3への更新

  - TLS 拡張マスターシークレットの互換性を増加します。空の TLS 拡張をハンドシェイクの最後に送信しません（bmo#1243641）

  - 特定のASN.1構造体の解析に関連するヒープベースのバッファオーバーフローを修正しました。攻撃者が、特別に細工された証明書を作成し、NSSにより解析される際に、ユーザーの権限でクラッシュまたは任意のコードの実行を引き起こす可能性がありました。
    （CVE-2016-1950、bmo#1245528）

  - NSS 3.22.2への更新。新機能：

  - RSA-PSS署名がサポートされるようになりました（bmo#1215295）

  - SHA-1 以外のハッシュに基づいた疑似ランダム関数が現時点ではサポートされます

  - 構成ファイルからNSS上に外部ポリシーを適用します（bmo#1009429）

  - CVE-2016-8635：DH小サブグループ限定攻撃を修正します（bsc#1015547）Mozilla NSPRがバージョン4.13.1に更新されました：以前にリリースされたバージョン4.13では、パイプがデフォルトでノンブロッキングになるように変更されました。その結果、PollEventがクリア時にブロックしないように変更されました。NSPR開発チームは、これらの変更によりNSPRを使用する一部のアプリケーションで回帰が発生するという報告を受け、NSPRで行われた変更を取り消すことが決定されました4.13。NSPR 4.13.1は、パイプとPollEventの従来の動作を復元します。Mozilla NSPRのバージョン4.13への更新には、次の変更が含まれています：

  - PL_strcmp（およびその他）は、引数の1つがNULLの場合に一貫した結果を返すように修正されました。

  - PollEventは、クリア時にブロックしないように修正されました。

  - パイプは常にノンブロッキングです。

  - PR_GetNameForIdentity：スレッドセーフティロックとバインドチェックを追加しました。

  - PLArenaフリーリストを削除しました。

  - いくつかの整数オーバーフローの防止

  - いくつかのコメントを修正しました。この更新には、新しいmozilla-nssバージョンに対してリビルドする必要があるjava-1_8_0-openjdkも含まれています。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Mozilla Firefoxは、Firefox ESRリリース45.9に更新されました。Mozilla NSSは、TLS 1.3（ほとんどリリースドラフト）とさまざまな新しい暗号、PRF、Diffie Hellmanキー合意、およびより多くのハッシュのサポートをサポートするように更新されました。Firefoxで修正されたセキュリティ問題（bsc#1035082）

  - MFSA 2017-11/CVE-2017-5469：flex生成コードの潜在的なバッファオーバーフロー

  - MFSA 2017-11/CVE-2017-5429：Firefox 53、Firefox ESR 45.9、Firefox ESR 52.1で修正されたメモリの安全性のバグ

  - MFSA 2017-11/CVE-2017-5439：XSLT処理中のnsTArray Length()のメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5438：XSLT処理中のnsAutoPtrのメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5436：Graphite 2の悪意のあるフォントを使用した領域外書き込み

  - MFSA 2017-11/CVE-2017-5435：エディターでのトランザクション処理中のメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5434：フォーカス処理時のメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5433：SMILアニメーション関数でのメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5432：テキスト入力選択のメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5464：アクセシビリティとDOM操作によるメモリ破損

  - MFSA 2017-11/CVE-2017-5465：ConvolvePixelでの領域外読み取り

  - MFSA 2017-11/CVE-2017-5460：フレーム選択でのメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5448：ClearKeyDecryptorでの領域外書き込み

  - MFSA 2017-11/CVE-2017-5446：HTTP/2 DATAフレームが不正なデータと一緒に送信された場合の領域外読み取り

  - MFSA 2017-11/CVE-2017-5447：グリフ処理中の領域外読み取り

  - MFSA 2017-11/CVE-2017-5444：application/http-index-formatコンテンツの解析中のバッファオーバーフロー

  - MFSA 2017-11/CVE-2017-5445：application/http-index-formatコンテンツの解析中に使用される初期化されていない値

  - MFSA 2017-11/CVE-2017-5442：スタイル変更中のメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5443：BinHexデコーディング中の領域外書き込み

  - MFSA 2017-11/CVE-2017-5440：XSLT処理中のtxExecutionStateデストラクタのメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5441：スクロールイベント中の選択に伴うメモリ解放後使用

  - MFSA 2017-11/CVE-2017-5459：WebGL Mozilla NSSのバッファオーバーフローが3.29.5に更新され、新しい機能が追加され、バグが修正されました：

  - NSS 3.29.5への更新

  - MFSA 2017-11/CVE-2017-5461：base 64デコーダーおよびエンコーダーの稀なクラッシュが修正されました。

  - MFSA 2017-11/CVE-2017-5462：RNGのキャリーオーバーバグが修正されました。

  - CVE-2016-9574：SessionTicket拡張およびECDHE-ECDSAを使用する際のセッションハンドシェイク中のリモートDoS（bsc#1015499）。

  - NSPR 4.13.1 が必要

  - NSS 3.29.3への更新

  - デフォルトでTLS 1.3を有効にします

  - ハッシュ計算（およびブール値のシフトに関するエラーを出力するGCC 7を使用したビルド）におけるバグを修正しました。
    （bsc#1030071、bmo#1348767）

  - NSS 3.28.3への更新。これは、バイナリ互換性の問題を修正するためのパッチリリースです。

  - NSS 3.28.1への更新。これは、ルートCA証明書のリストを更新するためのパッチリリースです。

  - 次のCA証明書が削除されました。CN = Buypass Class 2 CA 1 CN = Root CA Generalitat Valenciano OU = RSA Security 2048 V3

  - 次のCA証明書が追加されました。OU = AC RAIZ FNMT-RCM CN = Amazon Root CA 1 CN = Amazon Root CA 2 CN = Amazon Root CA 3 CN = Amazon Root CA 4 CN = LuxTrust Global Root 2 CN = Symantec Class 1 Publicプライマリ証明機関-G4 CN = Symantec Class 1 Public Primary Certification Authority-G6 CN = Symantec Class 2 Public Primary Certification Authority
    - G4 CN = Symantec Class 2 Public Primary Certification Authority - G6

  - 更新済み root CA リストのバージョン番号は、2.11 に設定されました

  - NSS 3.28への更新。新機能：

  - NSSには、TLS 1.3ドラフト-18のサポートが含まれています。これには、TLS 1.3に対する多数の改善が含まれます：

  - 証明書の透明性で使用される署名付きの証明書タイムスタンプは、TLS 1.3でサポートされています。

  - TLS 1.3]のキーエクスポーターがサポートされています。これには、0-RTTが有効な場合に使用可能な早期キーエクスポーターが含まれています。TLS 1.3と古いバージョンのTLSのキーエクスポーターの間には違いがあることに注意してください。TLS 1.3は、空のコンテキストとコンテキストなしを区別しません。

  - NSSの構築時にNSS_ENABLE_TLS_1_3=1を定義することで、TLS 1.3（ドラフト）プロトコルを有効にできます。

  - NSSにはX25519キー交換アルゴリズムのサポートが含まれており、これはすべてのバージョンのTLSでデフォルトでサポートされ、有効になります。主な変更内容：

  - NSSは、追加の楕円曲線のサポートを使用してコンパイルできなくなりました。これは、以前、特定のNSSソースファイルを置き換えることで可能でした。

  - NSSは、現在、追加の楕円曲線をサポートするトークンの存在を検出し、それらの曲線をTLSで使用できるようにします。この検出には一時的なパフォーマンスコストがかかりますが、SSL_NamedGroupConfig関数を使用して、サポートされるグループをNSSが提供するものに制限することで回避できることに注意してください。

  - TLSのPKCS#11バイパスは、サポートが終了し、削除されています。

  - 「export」グレードのSSL/TLS暗号スイートのサポートが削除されました。

  - NSSは、現在、TLS 1.3の署名スキーム定義を使用します。これはTLS 1.2にも影響します。NSSは、現在、TLS 1.2を交渉する場合でも、TLS 1.3で定義されたハッシュと署名スキームの組み合わせのみを使用して署名を生成します。

  - これは、SHA-256がP-256 ECDSA証明書でのみ、SHA-384がP-384証明書でのみ、SHA-512がP-521証明書でのみ使用されることを意味します。下位互換性の理由から、SHA-1は任意の証明書で許可されます（TLS 1.2のみ）。

  - NSSは、共通にサポートされている署名スキームがない場合に、デフォルトの署名スキームがピアによってサポートされていると想定しなくなりました。

  - NSSは、TLSに使用する前に、秘密キーを保持しているトークンによってRSA-PSS署名がサポートされているかどうかを確認するようになりました。

  - 証明書検証コードには、2016年10月21日以降に古いWoSignとStartCom CAによって発行された証明書を信頼しないようにするためのチェックが含まれています。これは、MozillaがFirefox 51でリリースする動作と同じです。

  - NSS 3.27.2への更新

  - SSL_SetTrustAnchorsの漏洩を修正しました（bmo#1318561）

  - （boo#1021636）で報告されているように、softokn/freeblの最小バージョンを3.28に上げました

  - NSS 3.26.2への更新。新機能：

  - selfservテストユーティリティが拡張され、ALPN（HTTP/1.1）および0-RTTに対応しました

  - Fedora Linuxで利用可能なシステム全体の暗号ポリシーのサポートを追加しました。http://fedoraproject.org/wiki/Changes/CryptoPolicyを参照してください

  - ビルドフラグNSS_DISABLE_LIBPKIXを導入しました。これにより、libpkixライブラリなしでNSSをコンパイルできます。主な変更点：

  - 次のCA証明書が追加されました：CN = ISRG Root X1

  - デフォルトでNPNは無効、ALPNは有効です

  - 現在のNSSテストスイートは、実験的なTLS 1.3コードを有効にして最終版とされています

  - NISTの既知の回答テストを含む、いくつかのテストの改善と追加。3.26.2の変更点

  - CertificateRequestメッセージでサーバーから送信されたMD5署名アルゴリズムが、適切に無視されるようになりました。
    以前は、稀なサーバー構成で、MD5署名アルゴリズムがクライアント認証に選択され、その直後にクライアントの接続が中断されていました。

  - NSS 3.25への更新。新機能：

  - TLS 1.3用にDHEキーの承諾を実装しました

  - TLS 1.3によるChaChaのサポートを追加しました

  - SHA384をPRFとしてを使用するTLS 1.2暗号スイートのサポートを追加しました

  - 以前のバージョンでは、TLS 1.2でクライアント認証を使用している場合に、NSSがPRFで使用されているものと同じ署名ハッシュアルゴリズムを使用する、certificate_verifyメッセージのみをサポートしていました。この制限が削除されました。
    重要な変更点：

  - SSLソケットは、TLS 1.3とSSLv3の両方を許可するように構成できなくなりました。

  - 回帰の修正：アプリケーションがSSLv2プロトコルの無効化を試みた場合に、NSSが失敗を報告しなくなりました。

  - 信頼できるCA証明書のリストがバージョン2.8に更新されました

  - 次の CA 証明書が削除されました：Sonera Class1 CA

  - 次のCA証明書が追加されました：Hellenic Academic and Research Instruments RootCA 2015 Hellenic Academic and Research Instruments ECC RootCA 2015 Certplus Root CA G1 Certplus Root CA G2 OpenTrust Root CA G1 OpenTrust Root CA G2 OpenTrust Root CA G3

  - NSS 3.24への更新。新機能：

  - NSS softokenは最新の米国立標準技術大学（NIST）のガイダンスで更新されました（2015年時点）：

  - 共有ライブラリのロードで、ソフトウェア整合性チェックとPOST機能が実行されます。パフォーマンスの回帰を引き起こす可能性があるため、これらのチェックはデフォルトで無効になっていました。これらのチェックを有効にするには、NSSの構築時にシンボルNSS_FORCE_FIPSを定義する必要があります。

  - カウンターモードとGalois/Counter Mode（GCM）には、カウンターのオーバーフローを防ぐためのチェックが含まれています。

  - 追加のCSPがコードで0にされます。

  - NSS softokenは、プライムサイズに基づいてプライムを検証するために必要なRabin-Millerテストの数に関する新しいガイダンスを使用します。

  - NSS softokenが更新され、NSSをFIPS レベル 1（パスワードなし）で実行できるようになりました。このモードは、データベースパスワードを空の文字列に設定することでトリガーされます。FIPSモードでは、レベル1からレベル2へ移動する（適切なパスワードの設定により）ことはできますが、その逆はできません。

  - SSL_ConfigServerCert関数が、証明書と秘密キーでSSL/TLSサーバーソケットを構成するために追加されました。SSL_ConfigSecureServer、SSL_ConfigSecureServerWithCertChain、SSL_SetStapledOCSPResponses、およびSSL_SetSignedCertTimestampsの代わりにこの新しい関数を使用します。SSL_ConfigServerCertは、証明書と秘密キーから証明書タイプを自動的に判断します。呼び出し側は、証明書が（証明書ではなく、キーの承諾タイプを不適切に識別する）ように構成された「スロット」を選択するために、明示的にSSLKEATypeを使用する必要がなくなりました。オンライン証明書状態プロトコル（OCSP）のレスポンスまたは署名証明書タイムスタンプを構成するための個別の関数は必要ありません。これらは、SSL_ConfigServerCertに提供されるオプションのSSLExtraServerCertData構造体に追加できるためです。また、RSA Probabilistic Signature Scheme（RSA-PSS）の証明書に対する部分的なサポートが追加されました。これらの証明書は構成できますが、このバージョンのNSSでは使用されません。

  - タイプSSLCipherSuiteInfoのメンバー属性authAlgorithmを廃止します。代わりに、アプリケーションは新しく追加された属性authTypeを使用する必要があります。

  - Linuxプラットフォームで、FREEBL_LOWHASHを定義する共有ライブラリ（libfreeblpriv3）を追加します。

  - SSL v2 に関連するほとんどのコードを削除します。これには、SSLv2 との互換性がある client hello をアクティブに送信する機能も含まれます。ただし、SSL/TLSプロトコルのサーバー側実装は、受信したv2互換のクライアントhelloメッセージの処理を引き続きサポートします。

  - SSLKEYLOGFILE環境変数が設定されている場合に、SSL/TLSキーマテリアルをログファイルに記録するための最適化されたビルドのNSSサポートを無効にします（デフォルト）。最適化されたビルド内の機能を有効にするには、NSSのビルド時にシンボルNSS_ALLOW_SSLKEYLOGFILEを定義する必要があります。

  - Cachebleed攻撃に対して保護するようにNSSを更新します。

  - DTLS 圧縮のサポートを無効にします。

  - TLS 1.3 のサポートを向上します。これは、DTLS 1.3 のサポートを含みます。TLS 1.3サポートは実験用であり、実稼働での使用には適していないことに注意してください。

  - NSS 3.23への更新。新機能：

  - ChaCha20/Poly1305 暗号および TLS 暗号化パッケージがサポートされています

  - TLS 1.3 1-RTTモードを実験専用としてサポートします（draft-11）。
    このコードは、実稼働で使用する準備ができていません。重要な変更点：

  - TLS ハンドシェイクで送信された TLS 拡張リストの順番が変更され、サーバーに対する Extended Master Secret の互換性が向上しました

  - ビルド時間環境変数NSS_ENABLE_ZLIBがNSS_SSL_ENABLE_ZLIBに名前が変更されました

  - ビルド時間環境変数NSS_DISABLE_CHACHAPOLYが追加されました。これは、ChaCha20/Poly1305コードのコンパイルを防ぐために使用できます。

  - 次のCA証明書が削除されました

  - Staat der Nederlanden Root CA

  - NetLock Minositett Kozjegyzoi (Class QA) Tanusitvanykiado

  - NetLock Kozjegyzoi (Class A) Tanusitvanykiado

  - NetLock Uzleti（Class B）Tanusitvanykiado

  - NetLock Expressz (Class C) Tanusitvanykiado

  - VeriSign Class 1 Public PCA - G2

  - VeriSign Class 3 Public PCA

  - VeriSign Class 3 Public PCA - G2

  - CA Disig

  - 次のCA証明書が追加されました

  + SZAFIR ROOT CA2

  + Certum Trusted Network CA 2

  - 次のCA証明書では、電子メールトラストビットがオンになっていました

  + Actalis Authentication Root CA。セキュリティ修正：

  - CVE-2016-2834：メモリの安全性に関するバグ（boo#983639）MFSA-2016-61 bmo#1206283 bmo#1221620 bmo#1241034 bmo#1241037

  - NSS 3.22.3への更新

  - TLS 拡張マスターシークレットの互換性を増加します。空の TLS 拡張をハンドシェイクの最後に送信しません（bmo#1243641）

  - 特定のASN.1構造体の解析に関連するヒープベースのバッファオーバーフローを修正しました。攻撃者が、特別に細工された証明書を作成し、NSSにより解析される際に、ユーザーの権限でクラッシュまたは任意のコードの実行を引き起こす可能性がありました。
    （CVE-2016-1950、bmo#1245528）

  - NSS 3.22.2への更新。新機能：

  - RSA-PSS署名がサポートされるようになりました（bmo#1215295）

  - SHA-1 以外のハッシュに基づいた疑似ランダム関数が現時点ではサポートされます

  - 構成ファイルからNSS上に外部ポリシーを適用します（bmo#1009429）

  - CVE-2016-8635：DH小サブグループ限定攻撃を修正します（bsc#1015547）Mozilla NSPRがバージョン4.13.1に更新されました：以前にリリースされたバージョン4.13では、パイプがデフォルトでノンブロッキングになるように変更されました。その結果、PollEventがクリア時にブロックしないように変更されました。NSPR開発チームは、これらの変更によりNSPRを使用する一部のアプリケーションで回帰が発生するという報告を受け、NSPRで行われた変更を取り消すことが決定されました4.13。NSPR 4.13.1は、パイプとPollEventの従来の動作を復元します。Mozilla NSPRのバージョン4.13への更新には、次の変更が含まれています：

  - PL_strcmp（およびその他）は、引数の1つがNULLの場合に一貫した結果を返すように修正されました。

  - PollEventは、クリア時にブロックしないように修正されました。

  - パイプは常にノンブロッキングです。

  - PR_GetNameForIdentity：スレッドセーフティロックとバインドチェックを追加しました。

  - PLArenaフリーリストを削除しました。

  - いくつかの整数オーバーフローの防止

  - いくつかのコメントを修正しました。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このMozillaFirefoxのESR60.2.2への更新では、いくつかの問題を修正します。

これらの一般的な変更は、バージョン60リリースの一部です。

速度が改善された新しいブラウザエンジン

再設計されたグラフィカルユーザーインターフェイス要素

新規インストール用のアドレスと検索バーの統合

最もアクセス件数の多いページ、最近アクセスされたページ、および推奨ページをリストする新しいタブページ

JSONファイルを介したエンタープライズ展開での構成ポリシーをサポートします

Web認証をサポートすることにより、Webサイト認証にUSBトークンの使用が許可されます

以下の変更は、互換性に影響を与えます：WebExtension APIを使用して構築された拡張機能を独占的にサポートするようになりました。

サポートされていないレガシー拡張機能が、Firefox 60 ESRでは機能しなくなりました

2016年6月1日より前にSymantecに発行されたTLS証明書は信頼されなくなりました「security.pki.distrust_ca_policy」環境設定を0に設定して、これらの証明書の信頼を回復できます

次の問題がパフォーマンスに影響を与えます：秘密鍵、証明書、証明書の信頼を保存するための新しいフォーマット。ユーザーのホームディレクトリまたはデータディレクトリがネットワークファイルシステム上にある場合、ユーザーは速度の低下を回避するために次の環境変数を設定することが推奨されます：
NSS_SDB_USE_CACHE=yes。この設定は、高速ローカルファイルシステムには推奨されません。

次のセキュリティ問題が修正されました：CVE-2018-12381：Outlookメールメッセージをドラッグアンドドロップすると、ページナビゲーションが発生します（bsc#1107343）。

CVE-2017-16541：自動マウントとautofsを使用したプロキシバイパス（bsc#1107343）。

CVE-2018-12376：メモリの安全性に関する複数のバグ（bsc#1107343）。

CVE-2018-12377：更新ドライバータイマーのメモリ解放後使用（Use After Free）（bsc#1107343）。

CVE-2018-12378：IndexedDBでのメモリ解放後使用（use-after-free）（bsc#1107343）。

CVE-2018-12379：悪意のあるMARファイルによる領域外書き込み（bsc#1107343）。

CVE-2018-12386：JavaScriptの型の取り違え（Type Confusion）により、リモートコード実行ができました（bsc#1110506）

CVE-2018-12387：Array.prototype.pushスタックポインターの脆弱性により、サンドボックスコンテンツプロセスでエクスプロイトが可能になることがあります（bsc#1110507）

CVE-2018-12385：キャッシュされたデータによるTransportSecurityInfoのクラッシュ（bsc#1109363）

CVE-2018-12383：マスターパスワードを設定しても、以前に保存された暗号化されていないパスワードは削除されません（bsc#1107343）

このmozilla-nsprのバージョン 4.19への更新では、次の問題を修正します。TCP Fast Open機能が追加されました

PR_NSPR_IO_LAYERのないソケットが、ポーリングの際にアサーションをトリガーしなくなりました

このmozilla-nssのバージョン 3.36.4への更新では、次の問題を修正します。最近TLS 1.3にアップグレードされたサーバーに接続すると、SSL_RX_MALFORMED_SERVER_HELLOエラーが発生します。

- PKCS#12ファイルに伴う稀なバグを修正します

既存のベクトル化されたChaCha20コードを、検証済みのHACL*実装と置換します。

TLS 1.3サポートがdraft -23に更新しました。

非ベクトル化Chacha20および非ベクトル化Poly1305 64-bitの正式に検証された実装が追加されました。

次のCA証明書が削除されました：OU = セキュリティ通信 EV RootCA1 CN = CA Disig Root R1 CN = DST ACES CA X6 Certum CA、O=Unizeto Sp. z o.o. StartCom証明機関 StartCom証明機関 G2 TÃƒÂœBÃ„Â°TAK UEKAE KÃƒÂ¶k Sertifika Hizmet SaÃ„ÂŸlayÃ„Â±cÃ
„Â±sÃ„Â± - SÃƒÂ¼rÃƒÂ¼m 3 ACEDICOM Root Certinomis - AutoritÃƒÂ© Racine TÃƒÂœRKTRUST Elektronik Sertifika Hizmet SaÃ„ÂŸlayÃ„Â±cÃ
„Â±sÃ„Â± PSCProcert CA Ã¦Â²ÂƒÃ©Â€& Acirc;šÃ¦Â Â¹Ã¨&Ac irc;¯ÂÃ¤Â¹Â¦, O=WoSign CA Limited Certification Authority of WoSign Certification Authority of WoSign G2 CA WoSign ECC Root Subject CN = VeriSign Class 3 Secure Server CA - G2 O = Japanese Government, OU = ApplicationCA CN = WellsSecure Public Root Certificate Authority CN = TÃƒÂœRKTRUST Elektronik Sertifika Hizmet SaÃ„ÂŸlayÃ„Â±cÃ
„Â±sÃ„Â± H6 CN = Microsec e-Szigno Root

次のCA証明書が削除されました：AddTrust Public CA Root AddTrust Qualified CA Root China Internet Network Information Center EV Certificates Root CNNIC ROOT ComSign Secured CA GeoTrust Global CA 2 Secure Certificate Services Swisscom Root CA 1 Swisscom Root EV CA 2 Trusted Certificate Services UTN-USERFirst-Hardware UTN-USERFirst-Object

次のCA証明書が追加されました。CN = D-TRUST Root CA 3 2013 CN = TUBITAK Kamu SM SSL Kok Sertifikasi - Surum 1 GDCA TrustAUTH R5 ROOT SSL.com Root Certification Authority RSA SSL.com Root Certification Authority ECC SSL.com EV Root Certification Authority RSA R2 SSL.com EV Root Certification Authority ECC TrustCor RootCert CA-1 TrustCor RootCert CA-2 TrustCor ECA-1

次のCA証明書に対して、Webサイト（TLS/SSL）トラストビットはオフにされました：CN = Chambers of Commerce Root CN = Global Chambersign Root

クライアントがTLSをサポートしている場合、TLSサーバーはステートレスにClientHelloを処理できます 1.3。サーバーがHelloRetryRequestを送信する場合、サーバーソケットを破棄し、後続のClientHelloを処理する新しいソケットを作成することが可能です。これにより、ステートレスサーバー操作の有効性が向上します。（この機能はQUICをサポートする形で追加されますが、DTLS 1.3サーバー用のユーティリティも含まれます。）

mozilla-nssの更新のため、apache2-mod_nssを更新して、現在デフォルトになっているSQLite証明書データベースに変更する必要があります（bsc#1108771）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
100863	openSUSEセキュリティ更新プログラム：lynis（openSUSE-2017-705）	Nessus	SuSE Local Security Checks	2017/6/19	2021/1/19	high
109236	openSUSEセキュリティ更新プログラム：chromium（openSUSE-2018-381）	Nessus	SuSE Local Security Checks	2018/4/23	2021/1/19	high
100151	SUSE SLED12 / SLES12セキュリティ更新プログラム：MozillaFirefox、mozilla-nss、mozilla-nspr、java-1_8_0-openjdk（SUSE-SU-2017:1248-1）	Nessus	SuSE Local Security Checks	2017/5/12	2024/1/16	critical
99992	SUSE SLES11セキュリティ更新プログラム：MozillaFirefox、mozilla-nss、mozilla-nspr（SUSE-SU-2017:1175-1）	Nessus	SuSE Local Security Checks	2017/5/5	2024/1/16	critical
118590	SUSE SLED12 / SLES12セキュリティ更新プログラム：MozillaFirefox、MozillaFirefox-branding-SLE、llvm4、mozilla-nspr、mozilla-nss、apache2-mod_nss（SUSE-SU-2018:3591-1）	Nessus	SuSE Local Security Checks	2018/11/1	2021/1/13	critical
119451	SUSE SLED12 / SLES12セキュリティ更新プログラム：MozillaFirefox、MozillaFirefox-branding-SLE、llvm4、mozilla-nspr、mozilla-nss、apache2-mod_nss（SUSE-SU-2018:3591-2）	Nessus	SuSE Local Security Checks	2018/12/6	2021/1/13	critical

検出

プラグインの検索

high

high

critical

critical

critical

critical