远程iraclelinux 4 主机上存在安装的程序包该程序包受到 AXSA:2014-054:01 公告中提及的多个漏洞的影响。

    nss：网络安全服务 (NSS) 是一组库，用于支持启用安全的客户端和服务器应用程序的跨平台开发。使用 NSS 构建的应用程序可支持 SSL v2 和 v3、TLS、PKCS #5、PKCS #7、PKCS #11、PKCS #12、S/MIME、X.509 v3 证书及其他安全标准。
     nss-util用于 Network Security Services 和 Softoken 模块的实用工具 nsprNSPR 为非 GUI 操作系统设施提供平台独立性。这些设施包括线程、线程同步、正常文件和网络 I/O、间隔定时和日历时间、基本内存管理malloc 和释放以及共享库链接。
    此版本修复的安全问题
     从属证书颁发机构 (CA) 错误颁发中间证书这可被用于执行中间人攻击。此更新将该特定中间证书显示为不受信任。
    注意：此补丁仅适用于使用 NSS Builtin 对象标记的应用程序。它不会令证书对于使用 NSS 库但并未使用 NSS 内置对象标记的应用程序变为不受信任。
     CVE-2013-17393.15.2 之前版本的 Mozilla Network Security Services (NSS) 未确保数据结构在读取操作前初始化这允许远程攻击者通过触发解密失败的向量造成拒绝服务或可能造成其他不明影响。
     CVE-2013-1741 之前的 Mozilla Network Security Services (NSS) 3.15 中的 3.15.3 整数溢出允许远程攻击者通过大值造成拒绝服务或可能产生其他不明影响。
     CVE-2013-5605 Mozilla Network Security Services (NSS) 低于 [] 的 3.143.14.5 和低于 [ 3.15 的  3.15.3 允许远程攻击者通过无效的握手数据包造成拒绝服务或可能造成其他不明影响。
     CVE-2013-5606 低于 3.15.3 的 Mozilla Network Security Services (NSS) 3.15 中当 CERTVerifyLog 参数有效时lib/certhigh/certvfy.c 中的 CERT_VerifyCert 函数提供不兼容的 key-usage 证书的意外返回值这可能允许远程攻击者通过构建的证书绕过预期访问限制。
     CVE-2013-5607 低于 4.10.2的 Firefox 中使用的 之前的 Mozilla Netscape Portable Runtime (NSPR) 、低于 25.0.1的Firefox ESR 17.x17.0.11 和之前的 24.1.124.x 以及 2.22.1之前的 SeaMonkey 的 PL_ArenaAllocate 函数中存在整数溢出允许远程攻击可让攻击者通过特制的 X.509 证书造成拒绝服务应用程序崩溃或可能造成其他不明影响这是与 CVE-2013-1741相关的问题。
    修复的缺陷：
     以前多次加载单个密钥会导致 SSL 连接失败。这是因为 NSS PEM 模块每当加载 文件中的密钥时就会假装删除标记。此问题已得到修复。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

MagicLinux 4nspr-4.10.2-1.AXS4、nss-3.15.3-6.0.1.AXS4、nss-util-3.15.3-1.AXS4 (AXSA:2014-054:01)

critical Nessus 插件 ID 291470

版本 1.1