在 NSS 处理无效握手数据包的方式中发现一个缺陷。远程攻击者可利用此缺陷导致使用 NSS 的 TLS/SSL 客户端崩溃，或者可能以运行该应用程序的用户的权限执行任意代码。(CVE-2013-5605)

已发现通过 SLSA-2013:1135 发布的 CVE-2013-1620 补丁引入了回归，当解密失败时会导致 NSS 读取未初始化的数据。远程攻击者可利用此缺陷导致使用 NSS 的 TLS/SSL 服务器崩溃。(CVE-2013-1739)

在 64 位系统上证书解析的 NSS 和 NSPR 实现中发现整数溢出缺陷。远程攻击者可利用这些缺陷导致使用 NSS 或 NSPR 的应用程序崩溃。（CVE-2013-1741、CVE-2013-5607）

已发现 NSS 在启用 verifyLog 功能后验证证书时，不拒绝包含不兼容密钥使用限制的证书。使用 NSS 证书验证 API 的应用程序可能接受无效的证书。
(CVE-2013-5606)

此外，nss 程序包已升级到上游版本 3.15.3，nspr 程序包已升级到上游版本 4.10.2。这些更新提供了对之前版本的多个缺陷补丁和增强。

此更新还修复以下缺陷：

- SLBA-2013:1318 更新引入了回归，阻止使用具有 MD5 签名的证书。此更新修复了此回归，重新支持具有 MD5 签名的证书。为了避免使用带有 MD5 签名的证书，请将“NSS_HASH_ALG_SUPPORT”环境变量设置为“-MD5”。

安装此更新后，必须重新启动使用 NSS 或 NSPR 的应用程序才能使此更新生效。

检测

Scientific Linux 安全更新：SL5.x i386/x86_64 中的 nss 和 nspr

high Nessus 插件 ID 71306

未找到变更日志