RHEL 8：nss 和 nspr (RHSA-2019:1951)
high Nessus 插件 ID 127636
语言：
简介
远程 Red Hat 主机缺少一个或多个安全更新。描述
nss 和 nspr 的更新现在可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。网络安全服务 (NSS) 是一组库，专用于支持启用了安全性的客户端和服务器应用程序的跨平台开发。Netscape Portable Runtime (NSPR) 为非 GUI 操作系统设施提供平台独立性。下列程序包已升级至更新的上游版本：nss (3.44.0)、nspr (4.21.0)。(BZ#1713187, BZ#1713188) 安全修复：* nss：数个 CMS 函数中发生空指针取消引用，进而导致拒绝服务 (CVE-2018-18508) * nss：导入 curve25519 私钥时发生越界读取 (CVE-2019-11719) * nss：空或畸形的 p256-ECDH 公钥可触发分段错误 (CVE-2019-11729) * nss：PKCS#1 v1.5 签名可用于 TLS 1.3 (CVE-2019-11727) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。缺陷修复：* 建立 DSA PQG 参数时 PQG 验证失败，这是因为未正确返回计数所致。(BZ#1685325) * 缺少 AES 环境的归零 (BZ#1719629) * RSA Pairwise 一致性测试 (BZ#1719630) * FIPS 已针对 nss-softoken POST 更新 (BZ#1722373) * 缺少 PG 参数的 DH/ECDH 密钥测试 (BZ#1722374) * NSS 应该对其种子数据实现连续随机测试，或随机使用内核 AF_ALG 界面 (BZ#1725059) * 在 strsclnt 实用工具中支持设定支持签名算法 (BZ# 1725110) * 没有参数的 certutil -F 遭到终止，并出现分段错误消息 (BZ#1725115) * NSS：支持 IKE/IPsec 典型 PKIX 用法，因此 libreswan 可以根据 EKU 使用 nss 而不会拒绝凭证 (BZ#1725116) * NSS 应该使用 getentropy() 植入其 RNG，而非 /dev/urandom。需要更新至 NSS 3.37 (BZ#1725117) * 在 FIPS 模式下停用 TLS 1.3 (BZ#1725773) * 当客户端在 TLS 1.3 中使用 PKCS#1 签名时发送错误的警示 (BZ#1728259) * 允许在 FIPS 模式下使用 x25519 (BZ#1728260) * 如果已设定 SSL_ENABLE_SESSION_TICKETS，则无法使用 selfserv 进行交握后验证 (BZ#1728261) 增强功能：* 将 IKEv1 和 IKEv2 KDF 从 libreswan 移动到 nss-softkn (BZ#1719628)解决方案
更新受影响的程序包。另见
https://access.redhat.com/errata/RHSA-2019:1951
https://access.redhat.com/security/cve/cve-2018-18508
https://access.redhat.com/security/cve/cve-2019-11719
插件详情
严重性: High
ID: 127636
文件名: redhat-RHSA-2019-1951.nasl
版本: 1.7
类型: local
代理: unix
发布时间: 2019/8/12
最近更新时间: 2022/5/19
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
风险信息
VPR
风险因素: Low
分数: 3.6
CVSS v2
风险因素: Medium
基本分数: 5
时间分数: 3.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS 分数来源: CVE-2019-11727
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2019-11719
漏洞信息
CPE: p-cpe:/a:redhat:enterprise_linux:nspr, p-cpe:/a:redhat:enterprise_linux:nspr-debuginfo, p-cpe:/a:redhat:enterprise_linux:nspr-debugsource, p-cpe:/a:redhat:enterprise_linux:nspr-devel, p-cpe:/a:redhat:enterprise_linux:nss, p-cpe:/a:redhat:enterprise_linux:nss-debuginfo, p-cpe:/a:redhat:enterprise_linux:nss-debugsource, p-cpe:/a:redhat:enterprise_linux:nss-devel, p-cpe:/a:redhat:enterprise_linux:nss-softokn, p-cpe:/a:redhat:enterprise_linux:nss-softokn-debuginfo, p-cpe:/a:redhat:enterprise_linux:nss-softokn-devel, p-cpe:/a:redhat:enterprise_linux:nss-softokn-freebl, p-cpe:/a:redhat:enterprise_linux:nss-softokn-freebl-debuginfo, p-cpe:/a:redhat:enterprise_linux:nss-softokn-freebl-devel, p-cpe:/a:redhat:enterprise_linux:nss-sysinit, p-cpe:/a:redhat:enterprise_linux:nss-sysinit-debuginfo, p-cpe:/a:redhat:enterprise_linux:nss-tools, p-cpe:/a:redhat:enterprise_linux:nss-tools-debuginfo, p-cpe:/a:redhat:enterprise_linux:nss-util, p-cpe:/a:redhat:enterprise_linux:nss-util-debuginfo, p-cpe:/a:redhat:enterprise_linux:nss-util-devel, cpe:/o:redhat:enterprise_linux:8, cpe:/o:redhat:enterprise_linux:8.0
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
易利用性: No known exploits are available
补丁发布日期: 2019/7/30
漏洞发布日期: 2019/7/23
参考资料信息
CVE: CVE-2018-18508, CVE-2019-11719, CVE-2019-11727, CVE-2019-11729
RHSA: 2019:1951