在 mod_nss 处理每个目录上下文的 NSSVerifyClient 设置的方式中发现一个缺陷。当配置为不要求客户端证书用于初始连接，而只要求其用于特定目录时，mod_nss 无法实施此要求，并且允许客户端在未提供有效的客户端证书的情况下访问该目录。(CVE-2013-4566)

必须重新启动 httpd 服务才能使此更新生效。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 当将 server/vhost 上下文的 NSSVerifyClient 设置为 none 时mod_nss 1.0.8 和更早版本不会在目录上下文中强制执行 NSSVerifyClient 设置从而允许远程攻击者绕过预期访问限制。 (CVE-2013-4566)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

来自 Red Hat 安全公告 2013:1779：

更新后的 mod_nss 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

mod_nss 模块使用网络安全服务 (NSS) 安全库，通过安全套接字层 (SSL) 和传输层安全 (TLS) 协议为 Apache HTTP Server 提供强密码。

在 mod_nss 处理每个目录上下文的 NSSVerifyClient 设置的方式中发现一个缺陷。当配置为不要求客户端证书用于初始连接，而只要求其用于特定目录时，mod_nss 无法实施此要求，并且允许客户端在未提供有效的客户端证书的情况下访问该目录。(CVE-2013-4566)

Red Hat 在此感谢 OUSD(AT&L) 的 Albert Smith 报告此问题。

所有 mod_nss 用户都应升级此更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。必须重新启动 httpd 服务才能使此更新生效。

在 mod_nss 处理每个目录上下文的 NSSVerifyClient 设置的方式中发现一个缺陷。当配置为不要求客户端证书用于初始连接，而只要求其用于特定目录时，mod_nss 无法实施此要求，并且允许客户端在未提供有效的客户端证书的情况下访问该目录。(CVE-2013-4566)

更新后的 mod_nss 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

mod_nss 模块使用网络安全服务 (NSS) 安全库，通过安全套接字层 (SSL) 和传输层安全 (TLS) 协议为 Apache HTTP Server 提供强密码。

在 mod_nss 处理每个目录上下文的 NSSVerifyClient 设置的方式中发现一个缺陷。当配置为不要求客户端证书用于初始连接，而只要求其用于特定目录时，mod_nss 无法实施此要求，并且允许客户端在未提供有效的客户端证书的情况下访问该目录。(CVE-2013-4566)

Red Hat 在此感谢 OUSD(AT&L) 的 Albert Smith 报告此问题。

所有 mod_nss 用户都应升级此更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。必须重新启动 httpd 服务才能使此更新生效。

当同时用于 server / vhost 上下文以及目录上下文（通过 <Directory> 或 <Location> 指令指定）时，在处理 NSSVerifyClient 的方式中发现一个缺陷。如果在 server / vhost 上下文中设置了“NSSVerifyClient none”（即服务器配置为在初始连接时不请求或不要求客户端证书认证），且预期要求通过“NSSVerifyClient require”设置对特定目录进行客户端证书认证，则 mod_nss 无法正确要求预期的证书认证。能够连接到 Web 服务器的、使用此类 mod_nss 配置且没有有效客户端证书的远程攻击者可能利用此缺陷访问受限目录的内容。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

此更新修复 apache2-mod_nss 的以下安全问题：

- 客户端证书验证有问题 (CVE-2013-4566)。(bnc#853039)

- mod_nss-CVE-2013-4566-NSSVerifyClient.diff 修复了 CVE-2013-4566：如果在 server / vhost 上下文中设置了“NSSVerifyClient none”（即将服务器配置为不在初始连接时请求证书认证或要求客户端证书认证）并且通过“NSSVerifyClient require”设置预期特定目录要求客户端证书认证，则 mod_nss 无法正确要求证书认证。远程攻击者可利用此问题来访问受限制目录的内容。[bnc#853039]

- 向 /etc/apache2/conf.d/mod_nss.conf 添加了合并文档：

- 同时使用 mod_ssl and mod_nss

- SNI 并发

- apache 配置的 SUSE 框架，Listen 指令

- 模块初始化

- mod_nss-conf.patch 已分别被 nss.conf.in 或 mod_nss.conf 的暂用版本淘汰。这样也会导致删除 mod_nss-negotiate.patch 和 mod_nss-tlsv1_1.patch 中特定区块中的 nss.conf.in。

- 添加了 mod_nss_migrate.pl 转换脚本；未安装来自源的修补程序，但已部分重写。

- 添加了 README-SUSE.txt，其中包含对如何转换和管理证书及密钥的逐步说明以及关于 SLES 中为何包含 mod_nss 的基本原理。

- 准备好进行提交的程序包 [bnc#847216]

- 程序包的一般清理：

- 明确的 Requires: to mozilla-nss >= 3.15.1，因为此版本包含 TLS-1.2 支持 - 这是 apache2-mod_nss 此版本更新背后的目的。Tracker 缺陷 [bnc#847216]

- 将 path /etc/apache2/alias 更改为 /etc/apache2/mod_nss.d 以避免含糊不清地解释目录名称。

- 若 /etc/apache2/alias 存在则将 /etc/apache2/alias 的内容合并到 /etc/apache2/mod_nss.d。

- 为 /etc/apache2/mod_nss.d 中 %post 生成的 *.db 文件设置明确的文件模式 640

此更新提供 apache2-mod_nss 1.0.14，带来了多个补丁和增强功能：

- 修复 OpenSSL 密码在 + 处停止解析的问题。
 (CVE-2016-3099)

- 已创建 valgrind 禁止显示文件以简化调试操作。

- 实现 SSL_PPTYPE_FILTER 以调用可执行文件，取得密钥密码 pin。

- migrate.pl 的改进。

- 更新默认密码，使其更现代化、更安全。

- 先检查 gencert 中的主机与 netstat 命令，然后再尝试使用。

- 为 DHE 密码添加服务器支持。

- 从服务器/客户端证书提取 SAN 至 env 中

- 修复由 clang 分析器捕获的内存泄漏及其他编码问题。

- 添加对 Server Name Indication (SNI) 的支持。

- 添加对反向代理连接的 SNI 的支持。

- 添加 RenegBufferSize? 选项。

- 添加对 TLS 会话票证的支持 (RFC 5077)。

- 修复 OpenSSL 密码兼容性中的逻辑 AND 支持。

- 正确处理已禁用的密码。(CVE-2015-5244)

- 实现更多 OpenSSL 加密宏。

- 修复一些不合法的内存访问与内存泄漏。

- 如果 NSS 中具有 SHA384 密码，便提供 SHA384 密码支持。

- 添加 mod_ssl-style 加密定义的兼容性。

- 添加 TLSv1.2 特定的密码。

- 完全删除对 SSLv2 的支持。

- 添加对 sqlite NSS 数据库的支持。

- 服务器启动期间比较主题的 CN 与 VS 主机名。

- 添加对启用 TLS v1.2 的支持。

- 默认情况下不启用 SSL 3。(CVE-2014-3566)

- 修复 CVE-2013-4566。

- 将 nss_pcache 移至 /usr/libexec。

- 支持 httpd 2.4+。

- 使用 apache2-systemd-ask-pass 提示证书通行短语。（bsc#972968、bsc#975394）

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

此更新提供 apache2-mod_nss 1.0.14，带来了多个补丁和增强功能：

- SHA256 密码名称的拼写从 *_sha256 变更为
*_sha_256。

- 舍弃 mod_nss_migrate.pl 并改用上游迁移脚本。

- 启动时检查 NSS 数据库的 Apache 用户所有者/群组读取权限。

- 更新默认密码，使其更现代化、更安全。

- 先检查 gencert 中的主机与 netstat 命令，然后再尝试使用。

- 启用 NSSFIPS 时不忽略 NSSProtocol。

- 使用正确的 shell 语法，避免在 gencert 中创建 /0。

- 为 DHE 密码添加服务器支持。

- 从服务器/客户端证书提取 SAN 到 env 中。

- 修复由 clang 分析器捕获的内存泄漏及其他编码问题。

- 添加对 Server Name Indication (SNI) 的支持

- 添加对反向代理连接的 SNI 的支持。

- 添加 RenegBufferSize? 选项。

- 添加对 TLS 会话票证的支持 (RFC 5077)。

- 实现更多 OpenSSL 加密宏。

- 修复一些不合法的内存访问与内存泄漏。

- 如果在 NSS 版本中针对 SHA384 密码建立 mod_nss 模块，则为该密码机制提供支持。

- 添加 SECURE_RENEG 环境变量。

- 无法初始化 NSS 数据库时，添加一些提示。

- 代码清理涉及末尾空白和编译器警告。

- 适当地更新 autotools 配置，添加 config.h。

- 针对 SNI 添加小测试套件。

- 添加 mod_ssl-style 加密定义的兼容性。

- 添加 Camelia 密码。

- 删除 Fortezza 密码。

- 添加 TLSv1.2 特定的密码。

- 重新协商握手时，初始化密码列表。

- 完全删除对 SSLv2 的支持。

- 添加对 sqlite NSS 数据库的支持。

- 服务器启动期间比较主题的 CN 与 VS 主机名。

- 添加对启用 TLS v1.2 的支持。

- 默认情况下不启用 SSL 3。(CVE-2014-3566)

- 改进协议测试。

- 添加 nss_pcache 手册页。

- 修复 nss_pcache 中的参数处理。

- 支持 httpd 2.4+。

- 允许用户配置帮助程序，通过 NSSPassPhraseDialog 请求证书的复杂密码。(bsc#975394)

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
71304	Scientific Linux 安全更新：SL5.x、SL6.x i386/x86_64 中的 mod_nss	Nessus	Scientific Linux Local Security Checks	2013/12/10	2021/1/14	medium
260906	Linux Distros 未修补的漏洞：CVE-2013-4566	Nessus	Misc.	2025/9/3	2025/9/3	high
71187	Oracle Linux 5 / 6：mod_nss (ELSA-2013-1779)	Nessus	Oracle Linux Local Security Checks	2013/12/4	2024/10/22	high
71270	Amazon Linux AMI：mod24_nss (ALAS-2013-254)	Nessus	Amazon Linux Local Security Checks	2013/12/10	2018/4/18	medium
71179	CentOS 5 / 6：mod_nss (CESA-2013:1779)	Nessus	CentOS Local Security Checks	2013/12/4	2021/1/4	medium
71384	Fedora 19：mod_nss-1.0.8-27.fc19 (2013-22787)	Nessus	Fedora Local Security Checks	2013/12/13	2021/1/11	medium
71614	SuSE 11.2 / 11.3 安全更新：apache2-mod_nss（SAT 修补程序编号 8610 / 8611）	Nessus	SuSE Local Security Checks	2013/12/23	2021/1/19	medium
71190	RHEL 5 / 6：mod_nss (RHSA-2013:1779)	Nessus	Red Hat Local Security Checks	2013/12/4	2021/1/14	medium
71383	Fedora 18：mod_nss-1.0.8-27.fc18 (2013-22786)	Nessus	Fedora Local Security Checks	2013/12/13	2021/1/11	medium
71420	Fedora 20：mod_nss-1.0.8-28.fc20 (2013-22730)	Nessus	Fedora Local Security Checks	2013/12/14	2021/1/11	medium
72266	Amazon Linux AMI：mod_nss (ALAS-2013-253)	Nessus	Amazon Linux Local Security Checks	2014/2/4	2018/4/18	medium
74874	openSUSE 安全更新：apache2-mod_nss (openSUSE-SU-2013:1956-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
93457	SUSE SLES12 安全更新：apache2-mod_nss (SUSE-SU-2016:2285-1) (POODLE)	Nessus	SuSE Local Security Checks	2016/9/13	2023/6/26	critical
93590	SUSE SLES11 安全更新：apache2-mod_nss (SUSE-SU-2016:2329-1) (POODLE)	Nessus	SuSE Local Security Checks	2016/9/19	2023/6/26	low

检测

插件搜索

medium

high

high

medium

medium

medium

medium

medium

medium

medium

medium

medium

critical

low