Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
(AV:N/AC:L/Au:N/C:N/I:N/A:P)
Производитель ПО
Наименование ПО
nspr
(any)
nspr-devel
(any)
nss
(any)
nss-devel
(any)
nss-pkcs11-devel
(any)
nss-softokn
(any)
nss-softokn-devel
(any)
nss-softokn-freebl
(any)
nss-softokn-freebl-devel
(any)
nss-sysinit
(any)
nss-tools
(any)
nss-util
(any)
nss-util-devel
(any)
Описание
Network Security Services (NSS) - набор библиотек, разработанных для поддержки кросс-платформенной разработки безопасных серверных и клиентских приложений. Netscape Portable Runtime (NSPR) обеспечивает независимость платформы для средств операционной системы типа non-GUI. nss-softokn содержит криптографический модуль NSS softoken.
В NSS произошла утечка данных о времени, затрачиваемом на расшифровку в режиме CBC записей, зашифрованных по протоколам TLS/SSL и DTLS с использованием наборов шифров в режиме CBC. Эксплуатация данной уязвимости позволяет злоумышленнику, действующему удаленно, получить доступ к открытому тексту зашифрованных пакетов, используя TLS/SSL или DTLS сервер для атаки с оракулом на заполнение (padding oracle). (CVE-2013-1620)
Чтение за пределами границ существует в NSS и связано с расшифровкой некоторых сертификатов. Расшифровка некорректно сформированного сертификата приложением, использующим NSS, может привести к отказу в обслуживании данного приложения. - -
Данное обновление также устраняет следующие уязвимости:
* Обновление RHBA-2013:0445 (позволяющее обновить NSS до версии 3.14) не допускает использование сертификатов подписанных с помощью MD5. Это вызывало проблемы в некоторых средах. Данное обновление вновь разрешает использование сертификатов подписанных с помощью MD5. Чтобы предотвратить использование сертификатов, подписанных ключом MD5, необходимо установить значение "NSS_HASH_ALG_SUPPORT" переменной среды на "-MD5". (BZ#957603)
* Ранее, заголовочный файл sechash.h отсутствовал, что препятствовало сборке менеджеров пакетов RPM (таких как firefox и xulrunner) из определенного источника. (BZ#948715)
* Утечка памяти в функции nssutil_ReadSecmodDB() была устранена.
(BZ#984967)
Кроме того, пакеты nss, nss-util и nss-softokn были обновлены до вышестоящей версии 3.14.3, а пакет nspr package был обновлен до версии 4.9.5. Данные обновления позволяют устранить ряд уязвимостей и содержат доработки предыдущих версий.
(BZ#927157, BZ#927171, BZ#927158, BZ#927186)
Для устранения вышеупомянутых уязвимостей и внесения доработок пользователям NSS, NSPR, nss-util и nss-softokn рекомендуется обновить систему, используя данные пакеты обновлений.
Чтобы исправления вступили в силу, необходимо перезапустить приложения, использующие NSS, NSPR, nss-util или
nss-softokn после установки обновлений.
В NSS произошла утечка данных о времени, затрачиваемом на расшифровку в режиме CBC записей, зашифрованных по протоколам TLS/SSL и DTLS с использованием наборов шифров в режиме CBC. Эксплуатация данной уязвимости позволяет злоумышленнику, действующему удаленно, получить доступ к открытому тексту зашифрованных пакетов, используя TLS/SSL или DTLS сервер для атаки с оракулом на заполнение (padding oracle). (CVE-2013-1620)
Чтение за пределами границ существует в NSS и связано с расшифровкой некоторых сертификатов. Расшифровка некорректно сформированного сертификата приложением, использующим NSS, может привести к отказу в обслуживании данного приложения. - -
Данное обновление также устраняет следующие уязвимости:
* Обновление RHBA-2013:0445 (позволяющее обновить NSS до версии 3.14) не допускает использование сертификатов подписанных с помощью MD5. Это вызывало проблемы в некоторых средах. Данное обновление вновь разрешает использование сертификатов подписанных с помощью MD5. Чтобы предотвратить использование сертификатов, подписанных ключом MD5, необходимо установить значение "NSS_HASH_ALG_SUPPORT" переменной среды на "-MD5". (BZ#957603)
* Ранее, заголовочный файл sechash.h отсутствовал, что препятствовало сборке менеджеров пакетов RPM (таких как firefox и xulrunner) из определенного источника. (BZ#948715)
* Утечка памяти в функции nssutil_ReadSecmodDB() была устранена.
(BZ#984967)
Кроме того, пакеты nss, nss-util и nss-softokn были обновлены до вышестоящей версии 3.14.3, а пакет nspr package был обновлен до версии 4.9.5. Данные обновления позволяют устранить ряд уязвимостей и содержат доработки предыдущих версий.
(BZ#927157, BZ#927171, BZ#927158, BZ#927186)
Для устранения вышеупомянутых уязвимостей и внесения доработок пользователям NSS, NSPR, nss-util и nss-softokn рекомендуется обновить систему, используя данные пакеты обновлений.
Чтобы исправления вступили в силу, необходимо перезапустить приложения, использующие NSS, NSPR, nss-util или
nss-softokn после установки обновлений.
Как исправить
Используйте рекомендации производителя, доступные по ссылке https://access.redhat.com/knowledge/articles/11258
Ссылки
https://rhn.redhat.com/errata/RHSA-2013-1144.html
Источник: CVE
Наименование: CVE-2013-0791
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-0791
Источник: CVE
Наименование: CVE-2013-1620
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1620
Источник: CVE
Наименование: CVE-2013-0791
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-0791
Источник: CVE
Наименование: CVE-2013-1620
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1620
