Mandriva Linux 安全公告：nss (MDVSA-2014:139)
critical Nessus 插件 ID 76885
语言：
简介
远程 Mandriva Linux 主机缺少一个或多个安全更新。描述
已在 mozilla NSS 中发现并修正了一个漏洞：与 31.0 之前版本的 Firefox、24.7 之前版本的 Firefox ESR 24.x，以及 24.7 之前版本的 Thunderbird 一起使用时，Mozilla Network 安全服务 (NSS) 3.x 中的 libnss3.so 的 CERT_DestroyCertificate 函数中存在释放后使用漏洞，允许远程攻击者通过触发从信任域错误地删除 NSSCertificate 结构的矢量来执行任意代码 (CVE-2014-1544)。
更新后的程序包已升级到最新的 NSS (3.16.3) 版本，该版本不易受到此问题的影响。
作为 MDVSA-2014:125 的一部分而进行的 nss 3.16.1 更新引入了一项回归，原因是上游变更：“对法国政府根 CA ANSSI (DCISS) 强加的名称限制”。该变更不会在当前实现下起作用，因为法国政府根 CA 签名比“gouv.fr”域多。因此，我们目前恢复该变更，直到其在上游得到正确修复为止 (mga#13563)。
此外，rootcerts 程序包也已经更新到 2014-07-03 的最新版本，此版本添加、删除并且不再信任某些证书。
解决方案
更新受影响的数据包。另见
http://advisories.mageia.org/MGAA-2014-0135.html
https://bugs.mageia.org/show_bug.cgi?id=13563
http://www.nessus.org/u?a9bc9e12
http://www.nessus.org/u?d0ee8a6e
https://www.mozilla.org/security/announce/2014/mfsa2014-63.html
插件详情
严重性: Critical
ID: 76885
文件名: mandriva_MDVSA-2014-139.nasl
版本: 1.7
类型: local
发布时间: 2014/7/30
最近更新时间: 2021/1/6
支持的传感器: Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 8.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
漏洞信息
CPE: cpe:/o:mandriva:business_server:1, p-cpe:/a:mandriva:linux:rootcerts, p-cpe:/a:mandriva:linux:rootcerts-java, p-cpe:/a:mandriva:linux:nss-doc, p-cpe:/a:mandriva:linux:lib64nss3, p-cpe:/a:mandriva:linux:lib64nss-static-devel, p-cpe:/a:mandriva:linux:lib64nss-devel, p-cpe:/a:mandriva:linux:nss
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/Mandrake/release, Host/Mandrake/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2014/7/29
参考资料信息
CVE: CVE-2014-1544
BID: 68816
MDVSA: 2014:139