已在 mozilla NSPR 和 NSS 中发现并修复了多种安全问题：

低于 3.15.2 的 Mozilla Network Security Services (NSS) 未确保在读取操作之前初始化数据结构，从而允许远程攻击者通过触发解密失败的矢量造成拒绝服务或可能造成其他不明影响 (CVE-2013-1739)。

低于 3.15.3 的 Mozilla Network Security Services (NSS) 3.15 中的整数溢出允许远程攻击者通过较大的大小值造成拒绝服务或可能造成其他不明影响 (CVE-2013-1741)。

RC4 算法在 TLS 协议和 SSL 协议中使用时，有很多单字节偏差，使得远程攻击者可通过对大量使用相同明文的会话中的密文执行统计分析，更轻易地实施明文恢复攻击 (CVE-2013-2566)。

低于 3.14.5 的 Mozilla Network Security Services (NSS) 3.14 和低于 3.15.3 的 Mozilla Network Security Services 3.15 允许远程攻击者通过无效的握手数据包造成拒绝服务或可能造成其他不明影响 (CVE-2013-5605)。

在低于 3.15.3 的 Mozilla Network Security Services (NSS) 3.15 的 lib/certhigh/certvfy.c 中，CERT_VerifyCert 函数在 CERTVerifyLog 参数无效时向不兼容的密钥使用证书提供非预期返回值，这可能允许远程攻击者通过构建的证书绕过预期访问限制 (CVE-2013-5606)。

当在低于 25.0.1 的 Firefox、低于 17.0.11 的 Firefox ESR 17.x、低于 24.1.1 的 Firefox ESR 24.x 和低于 2.22.1 的 SeaMonkey 中使用时，低于 4.10.2 的 Mozilla Netscape Portable Runtime (NSPR) 中的 PL_ArenaAllocate 函数的整数溢出许远程攻击者通过构建的 X.509 证书造成拒绝服务（应用程序崩溃）或可能造成其他不明影响，此问题与 CVE-2013-1741 有关 (CVE-2013-5607)。

NSPR 程序包已更新到 4.10.2 版本，NSS 程序包已更新到 3.15.3 版本（此版本不受这些安全缺陷的影响）。

此外，rootcerts 程序包已自 2013 年 11 月 11 日起使用 mozilla 的最新 certdata.txt 文件升级。

检测

Mandriva Linux 安全公告：nss (MDVSA-2013:270)

high Nessus 插件 ID 70998

未找到变更日志