当同时用于 server / vhost 上下文以及目录上下文（通过 <Directory> 或 <Location> 指令指定）时，在处理 NSSVerifyClient 的方式中发现一个缺陷。如果在 server / vhost 上下文中设置了“NSSVerifyClient none”（即服务器配置为在初始连接时不请求或不要求客户端证书认证），且预期要求通过“NSSVerifyClient require”设置对特定目录进行客户端证书认证，则 mod_nss 无法正确要求预期的证书认证。能够连接到 Web 服务器的、使用此类 mod_nss 配置且没有有效客户端证书的远程攻击者可能利用此缺陷访问受限目录的内容。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

检测

Fedora 20：mod_nss-1.0.8-28.fc20 (2013-22730)

medium Nessus 插件 ID 71420

未找到变更日志