据报告，NSPR（通过 Mozilla 项目开发的操作系统接口抽象库）中存在两个漏洞。

  - CVE-2016-1951 报告的第一个问题是 sprintf-style 字符串格式化函数的 NSPR 实现未正确计算内存分配大小，可能导致基于堆的缓冲区溢出

第二个问题与 NSPR 中的环境变量处理有关。此库未忽略特定环境变量，使用这些变量可在进程启动时经过 SUID/SGID/AT_SECURE 转换的进程中配置日志记录和跟踪。在某些系统配置中，本地用户可利用此漏洞提升其权限。

此外，此 nspr 更新还可提供更稳定更准确的修复，而且其中包含即将推出的 nss 更新的支持代码。

检测

Debian DSA-3687-1：nspr - 安全更新

high Nessus 插件 ID 93870

未找到变更日志