CVE-2016-3099 に対するセキュリティ修正

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

この更新は、apache2-mod_nss 1.0.14を提供します。これは、いくつかの修正と強化を提供します。

  - + で解析を中止していた OpenSSL 暗号を修正します。
    (CVE-2016-3099)

  - valgrind 抑制ファイルを作成して、デバッグを消去しました。

  - SSL_PPTYPE_FILTER を実装して、キーパスワードピンを取得する実行可能ファイルを呼び出します。

  - migrate.pl を改良します。

  - デフォルトの暗号を最新でセキュアなものに更新します。

  - gencert のホストと netstat コマンドの使用を試みる前にチェックします。

  - DHE 暗号のサーバーサポートを追加します。

  - サーバー/クライアント証明書から env に SAN を抽出します

  - メモリリークと clang アナライザーがキャッチする他のコーディングの問題を修正します。

  - Server Name Indication（SNI）向けのサポートを追加します。

  - リバースプロキシ接続の SNI のサポートを追加します。

  - RenegBufferSize? オプションを追加します。

  - TLS セッションチケットのサポートを追加します（RFC 5077）。

  - OpenSSL 暗号の互換性での論理的な AND サポートを修正します。

  無効になった暗号を正しく処理します。(CVE-2015-5244)

  - 多数の追加の OpenSSL 暗号マクロを実装します。

  - 多数の違法のメモリアクセスとメモリリークを修正します。

  - NSS で使用できる場合に備えて、SHA384 暗号をサポートします。

  - mod_ssl-style 暗号定義の互換性を追加します。

  - TLSv1.2 特有の暗号を追加します。

  - SSLv2 のサポートを完全に削除します。

  - sqlite NSS データベースのサポートを追加します。

  - サーバーの起動中にサブジェクトの CN と VS のホスト名を比較します。

  - TLS v1.2 を有効にするためにサポートを追加します。

  - SSL 3 をデフォルトで有効にしません。(CVE-2014-3566)

  - CVE-2013-4566を修正します。

  - nss_pcache を /usr/libexec に移動します。

  - httpd 2.4+ をサポートします。

  - SHA256暗号名のスペルが *_sha256 から
    *_sha_256 に変わります。

  - apache2-systemd-ask-pass を使用して、証明書パスフレーズ用のプロンプトを表示します。 (bsc#972968、bsc#975394)

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

この更新は、apache2-mod_nss 1.0.14 を提供します。これは、いくつかの修正と強化を提供します。

- + で解析を中止していた OpenSSL 暗号を修正します。
 （CVE-2016-3099）

- valgrind 抑制ファイルを作成して、デバッグを消去しました。

- SSL_PPTYPE_FILTER を実装して、キーパスワードピンを取得する実行可能ファイルを呼び出します。

- migrate.pl を改良します。

- デフォルトの暗号を最新でセキュアなものに更新します。

- gencert のホストと netstat コマンドを使用を試みる前にチェックします。

- DHE 暗号のサーバーサポートを追加します。

- サーバー/クライアント証明書から env に SAN を抽出します

- メモリリークと clang アナライザーがキャッチする他のコーディングの問題を修正します。

- Server Name Indication（SNI）向けのサポートを追加します。

- リバースプロキシ接続の SNI のサポートを追加します。

- RenegBufferSize? オプションを追加します。

- TLS セッションチケットのサポートを追加します（RFC 5077）。

- OpenSSL 暗号の互換性での論理的な AND サポートを修正します。

- 無効になった暗号を正しく処理します。（CVE-2015-5244）

- 多数の追加の OpenSSL 暗号マクロを実装します。

- 多数の違法のメモリアクセスとメモリリークを修正します。

- NSS で使用できる場合に備えて、SHA384 暗号をサポートします。

- mod_ssl-style 暗号定義の互換性を追加します。

- TLSv1.2 特有の暗号を追加します。

- SSLv2 のサポートを完全に削除します。

- sqlite NSS データベースのサポートを追加します。

- サーバーの起動中にサブジェクトの CN と VS のホスト名を比較します。

- TLS v1.2 を有効にするためにサポートを追加します。

- SSL 3 をデフォルトで有効にしません。（CVE-2014-3566）

- CVE-2013-4566 を修正します。

- nss_pcache を /usr/libexec に移動します。

- httpd 2.4+ をサポートします。

- apache2-systemd-ask-pass を使用して、証明書パスフレーズ用のプロンプトを表示します。（bsc#972968、bsc#975394）

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

mod_nssの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。mod_nssモジュールは、SSL（Secure Sockets Layer）およびTLS（Transport Layer Security）プロトコルを介して、NSS（Network Security Services）セキュリティライブラリを使用し、Apache HTTP Serverに強力な暗号を提供します。mod_nss（1.0.14）のパッケージが新しいアップストリームバージョンにアップグレードされました。（BZ#1299063）セキュリティ修正プログラム：* mod_nssがOpenSSLスタイルの暗号化文字列を解析する方法に欠陥が見つかりました。その結果、mod_nssが意図せず有効化された暗号化を使用する可能性があります。（CVE-2016-3099）この問題はRob Crittenden氏（Red Hat）によって発見されました。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

出典：Red Hatセキュリティアドバイザリ2016:2602：mod_nssの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。mod_nssモジュールは、SSL（Secure Sockets Layer）およびTLS（Transport Layer Security）プロトコルを介して、NSS（Network Security Services）セキュリティライブラリを使用し、Apache HTTP Serverに強力な暗号を提供します。mod_nss（1.0.14）のパッケージが新しいアップストリームバージョンにアップグレードされました。（BZ#1299063）セキュリティ修正プログラム：* mod_nssがOpenSSLスタイルの暗号化文字列を解析する方法に欠陥が見つかりました。その結果、mod_nssが意図せず有効化された暗号化を使用する可能性があります。（CVE-2016-3099）この問題はRob Crittenden氏（Red Hat）によって発見されました。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

OpenSSL の +CIPHER オペレーターが暗号の順序を変更することが報告されました。エラーを返す代わりに (NSS は暗号の順序付けをサポートしていない) 、その時点までの処理の結果を返し、その結果、リクエストされた暗号が有効にならない可能性がありました。

次のパッケージが新しいアップストリームバージョンにアップグレードされました：
mod_nss（1.0.14）｡

セキュリティ修正プログラム:

  - mod_nssがOpenSSLスタイルの暗号化文字列を解析する方法に欠陥が見つかりました。その結果、mod_nssが意図せず有効化された暗号化を使用する可能性があります。（CVE-2016-3099）

この問題はRob Crittenden氏（Red Hat）によって発見されました。

追加の変更:

ID	名前	製品	ファミリー	公開日	更新日	深刻度
90951	Fedora 24：mod_nss-1.0.12-4.fc24（2016-1eaaf1ed0f）	Nessus	Fedora Local Security Checks	2016/5/9	2021/1/11	high
93767	SUSE SLES12セキュリティ更新プログラム: apache2-mod_nss (SUSE-SU-2016:2396-1) (POODLE)	Nessus	SuSE Local Security Checks	2016/9/28	2023/6/26	critical
90734	Fedora 23：mod_nss-1.0.12-3.fc23（2016-8b28358b72）	Nessus	Fedora Local Security Checks	2016/4/27	2021/1/11	high
93457	SUSE SLES12 セキュリティ更新：apache2-mod_nss（SUSE-SU-2016:2285-1)（POODLE）	Nessus	SuSE Local Security Checks	2016/9/13	2023/6/26	critical
94565	RHEL 7：mod_nss（RHSA-2016:2602）	Nessus	Red Hat Local Security Checks	2016/11/4	2019/10/24	high
94721	Oracle Linux 7：mod_nss（ELSA-2016-2602）	Nessus	Oracle Linux Local Security Checks	2016/11/11	2021/1/14	high
91628	Amazon Linux AMI：mod24_nss (ALAS-2016-714)	Nessus	Amazon Linux Local Security Checks	2016/6/16	2018/4/18	high
90733	Fedora 22：mod_nss-1.0.11-7.fc22（2016-85e9f2e3cd）	Nessus	Fedora Local Security Checks	2016/4/27	2021/1/11	high
95348	CentOS 7：mod_nss（CESA-2016:2602）	Nessus	CentOS Local Security Checks	2016/11/28	2021/1/4	high
95848	Scientific Linux セキュリティ更新: SL7.x x86_64のmod_nss（20161103）	Nessus	Scientific Linux Local Security Checks	2016/12/15	2021/1/14	high

検出

プラグインの検索

high

critical

high

critical

high

high

high

high

high

high