Oracle Linux 8 : nspr / nss (ELSA-2019-1951)
high Nessus 插件 ID 127609
语言：
简介
远程 Oracle Linux 主机缺少一个或多个安全更新。描述
来自 Red Hat 安全公告 2019:1951： nss 和 nspr 的更新现在可用于 Red Hat Enterprise Linux 8。 Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 网络安全服务 (NSS) 是一组库，专用于支持启用了安全性的客户端和服务器应用程序的跨平台开发。 Netscape Portable Runtime (NSPR) 为非 GUI 操作系统设施提供平台独立性。 下列程序包已升级到更新的上游版本： nss (3.44.0)、nspr (4.21.0)。(BZ#1713187, BZ#1713188) 安全补丁： * nss：多个 CMS 函数中的空指针取消引用导致拒绝服务 (CVE-2018-18508) * nss：导入 curve25519 私钥时，发生越界读取 (CVE-2019-11719) * nss：空或格式错误的 p256-ECDH 公钥可能会触发分段错误 (CVE-2019-11729) * nss：PKCS#1 v1.5 签名可用于 TLS 1.3 (CVE-2019-11727) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。 缺陷补丁： * 建立 DSA PQG 参数时 PQG 验证失败，这是因为未正确返回计数所致。(BZ#1685325) * 缺少 AES 上下文的归零 (BZ#1719629) * RSA 成对一致性测试 (BZ#1719630) * FIPS 更新为 nss-softoken POST (BZ#1722373) * DH/ECDH 密钥测试缺少 PG 参数 (BZ#1722374) * NSS 应该对其种子数据实施连续随机测试或使用内核 AF_ALG 接口进行随机 (BZ#1725059) * 支持在 strsclnt 实用程序中设置支持的签名算法 (BZ# 1725110) * 不含参数的 certutil -F 会因分段错误消息而终止 (BZ#1725115) * NSS：由于支持 IKE/IPsec 典型的 PKIX 用法，因此 libreswan 可以使用 nss 而不拒绝基于 EKU 的 certs (BZ#1725116) * NSS 应使用 getentropy() 而非 /dev/urandom 作为其 RNG 的种子。 需要更新至 NSS 3.37 (BZ#1725117) * 在 FIPS 模式下禁用 TLS 1.3 (BZ#1725773) * 当客户端使用 TLS 1.3 中的 PKCS#1 签名时，发送了错误警报 (BZ#1728259) * 在 FIPS 模式下允许使用 x25519 (BZ#1728260) * 如果设置了 SSL_ENABLE_SESSION_TICKETS，则使用 selfserv 的后握手身份验证会无效 (BZ#1728261) 增强功能： * 将 IKEv1 和 IKEv2 KDF 从 libreswan 移动至 nss-softkn (BZ#1719628)解决方案
更新受影响的 nspr 和/或 nss 程序包。另见
https://oss.oracle.com/pipermail/el-errata/2019-August/009011.html
插件详情
严重性: High
ID: 127609
文件名: oraclelinux_ELSA-2019-1951.nasl
版本: 1.4
类型: local
代理: unix
发布时间: 2019/8/12
最近更新时间: 2022/5/19
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Nessus
风险信息
VPR
风险因素: Low
分数: 3.6
CVSS v2
风险因素: Medium
基本分数: 5
时间分数: 3.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS 分数来源: CVE-2019-11727
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2019-11719
漏洞信息
CPE: p-cpe:/a:oracle:linux:nspr, p-cpe:/a:oracle:linux:nspr-devel, p-cpe:/a:oracle:linux:nss, p-cpe:/a:oracle:linux:nss-devel, p-cpe:/a:oracle:linux:nss-softokn, p-cpe:/a:oracle:linux:nss-softokn-devel, p-cpe:/a:oracle:linux:nss-softokn-freebl, p-cpe:/a:oracle:linux:nss-softokn-freebl-devel, p-cpe:/a:oracle:linux:nss-sysinit, p-cpe:/a:oracle:linux:nss-tools, p-cpe:/a:oracle:linux:nss-util, p-cpe:/a:oracle:linux:nss-util-devel, cpe:/o:oracle:linux:8
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux
易利用性: No known exploits are available
补丁发布日期: 2019/8/6
漏洞发布日期: 2019/7/23
参考资料信息
CVE: CVE-2018-18508, CVE-2019-11719, CVE-2019-11727, CVE-2019-11729
RHSA: 2019:1951