来自 Red Hat 安全公告 2016:2779： nss 和 nss-util 的更新现在可用于 Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 网络安全服务 (NSS) 是一组库，专用于支持启用了安全性的客户端和服务器应用程序的跨平台开发。 nss-util 程序包提供了可用于 Network Security Services (NSS) 库的实用工具。 下列程序包已升级到更新的上游版本： nss (3.21.3)、nss-util (3.21.3)。 安全补丁： * 在 NSS 处理加密网络数据的方式中发现多个缓冲区处理缺陷。远程攻击者可利用这些缺陷，造成使用 NSS 的应用程序崩溃，或可能以运行该应用程序的用户权限来执行任意代码。(CVE-2016-2834) * 在 NSS 处理无效 Diffie-Hellman 密钥的方式中发现空指针取消引用缺陷。远程客户端可利用此缺陷导致使用 NSS 的 TLS/SSL 服务器崩溃。(CVE-2016-5285) * 已发现 NSS 中的 Diffie Hellman 客户端密钥交换处理方式易受小型子组约束攻击。攻击者可利用此缺陷，通过将客户端 DH 密钥限定到所需组的小型子组，恢复私钥。(CVE-2016-8635) Red Hat 在此感谢 Mozilla 项目报告 CVE-2016-2834。CVE-2016-8635 问题由 Hubert Kario (Red Hat ) 发现。上游感谢 CVE-2016-2834 的原始报告者 Tyson Smith 和 Jed Davis。

远程主机受到 GLSA-201701-46 中所述漏洞的影响（Mozilla Network 安全服务 (NSS)：多个漏洞）在 NSS 中发现多个漏洞。请检查下面引用的 CVE 标识符和技术论文以了解详细信息。影响：远程攻击者可发动中间人攻击、取得私密密钥信息的访问权，或造成拒绝服务情况。解决方法：目前无任何已知的解决方法。

远程 OracleVM 系统缺少解决关键安全更新的必要补丁：

  - Mozilla #1314604 / Red Hat (CVE-2016-8635)

  - 变基至 NSS 3.21.3

  - 解决：Bug 1347908

CVE-2016-2834 nss: 多个安全缺陷 (MFSA 2016-61)

在 NSS 处理加密网络数据的方式中发现多个缓冲区处理缺陷。远程攻击者可利用这些缺陷，造成使用 NSS 的应用程序崩溃，或可能以运行该应用程序的用户权限来执行任意代码。

CVE-2016-8635 nss: small-subgroups 攻击缺陷

已发现 NSS 中的 Diffie Hellman 客户端密钥交换处理方式易受小型子组约束攻击。攻击者可利用此缺陷，通过将客户端 DH 密钥限定到所需组的小型子组，恢复私钥。

CVE-2016-5285 nss: PK11_SignWithSymKey/ssl3_ComputeRecordMACConstantTime 中缺少 NULL 检查导致服务器崩溃

在 NSS 处理无效 Diffie-Hellman 密钥的方式中发现空指针取消引用缺陷。远程客户端可利用此缺陷导致使用 NSS 的 TLS/SSL 服务器崩溃。

发现 NSS 未能正确处理某些无效 Diffie-Hellman 密钥。远程攻击者可利用此缺陷造成 NSS 崩溃，从而导致拒绝服务。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。
(CVE-2016-5285)

Hubert Kario 发现 NSS 未能正确处理 Diffie Hellman 客户端密钥交换。远程攻击者可利用此缺陷执行小型子组限制攻击并恢复私钥。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-8635)

Franziskus Kiefer 发现 NSS 未能正确缓解边信道时序攻击。远程攻击者可能利用此缺陷恢复私钥。(CVE-2016-9074)

此更新将 NSS 程序包刷新到 3.26.2 版，其中包含最新的 CA 证书捆绑包。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 OracleVM 系统缺少解决关键安全更新的必要补丁：

nss

  - 已新增 nss-vendor.patch，以更改供应商

  - Mozilla #1314604 / Red Hat (CVE-2016-8635)

  - 删除自 3.16.1 起从未使用过的 disable_hw_gcm.patch

  - 变基至 NSS 3.21.3

  - 解决：#1383885

nss-util

  - 变基至 nss-3.21.3

  - 删除版本中针对 CVE-2016-1950 的补丁

  - 相关：Bug 1347908

  - 已添加针对 CVE-2016-1950 的上游补丁

  - 从 nss 变基至 nss-util 3.21

  - 解决：错误 1297890 - 将 RHEL 6.8 变基至 NSS-util 3.21，为 Firefox 45 做准备

nss 和 nss-util 的更新现在可用于 Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。网络安全服务 (NSS) 是一组库，专用于支持启用了安全性的客户端和服务器应用程序的跨平台开发。nss-util 程序包提供了可用于 Network Security Services (NSS) 库的实用工具。下列程序包已升级至更新的上游版本：nss (3.21.3)、nss-util (3.21.3)。安全修复：* 在 NSS 处理加密网络数据的方式中发现多个缓冲区处理缺陷。远程攻击者可利用这些缺陷，造成使用 NSS 的应用程序崩溃，或可能以运行该应用程序的用户权限来执行任意代码。(CVE-2016-2834) * 在 NSS 处理无效 Diffie-Hellman 密钥的方式中发现空指针取消引用缺陷。远程客户端可利用此缺陷导致使用 NSS 的 TLS/SSL 服务器崩溃。(CVE-2016-5285) * 已发现 NSS 中的 Diffie Hellman 客户端密钥交换处理方式易受小型子组约束攻击。攻击者可利用此缺陷，通过将客户端 DH 密钥限定到所需组的小型子组，恢复私钥。(CVE-2016-8635) Red Hat 在此感谢 Mozilla 项目报告 CVE-2016-2834。CVE-2016-8635 问题由 Hubert Kario (Red Hat ) 发现。上游感谢 CVE-2016-2834 的原始报告者 Tyson Smith 和 Jed Davis。

nss 和 nss-util 更新现可用于 Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。网络安全服务 (NSS) 是一组库，专用于支持启用了安全性的客户端和服务器应用程序的跨平台开发。nss-util 程序包提供了可用于 Network Security Services (NSS) 库的实用工具。下列程序包已升级至更新的上游版本：nss (3.21.3)、nss-util (3.21.3)。安全修复：* 在 NSS 处理加密网络数据的方式中发现多个缓冲区处理缺陷。远程攻击者可利用这些缺陷，造成使用 NSS 的应用程序崩溃，或可能以运行该应用程序的用户权限来执行任意代码。(CVE-2016-2834) * 在 NSS 处理无效 Diffie-Hellman 密钥的方式中发现空指针取消引用缺陷。远程客户端可利用此缺陷导致使用 NSS 的 TLS/SSL 服务器崩溃。(CVE-2016-5285) * 已发现 NSS 中的 Diffie Hellman 客户端密钥交换处理方式易受小型子组约束攻击。攻击者可利用此缺陷，通过将客户端 DH 密钥限定到所需组的小型子组，恢复私钥。(CVE-2016-8635) Red Hat 在此感谢 Mozilla 项目报告 CVE-2016-2834。CVE-2016-8635 问题由 Hubert Kario (Red Hat ) 发现。上游感谢 CVE-2016-2834 的原始报告者 Tyson Smith 和 Jed Davis。

nss-util 程序包提供了可用于 Network Security Services (NSS) 库的实用工具。下列程序包已升级至更新的上游版本：nss (3.12.3)、nss-util (3.12.3)。安全修复：- 在 NSS 处理加密网络数据的方式中发现多个缓冲区处理缺陷。远程攻击者可利用这些缺陷，造成使用 NSS 的应用程序崩溃，或可能以运行该应用程序的用户权限来执行任意代码。(CVE-2016-2834) - 在 NSS 处理无效 Diffie-Hellman 密钥的方式中发现空指针取消引用缺陷。远程客户端可利用此缺陷导致使用 NSS 的 TLS/SSL 服务器崩溃。(CVE-2016-5285) - 已发现 NSS 中的 Diffie Hellman 客户端密钥交换处理方式易受小型子组约束攻击。攻击者可利用此缺陷，通过将客户端 DH 密钥限定到所需组的小型子组，恢复私钥。(CVE-2016-8635)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
94927	Oracle Linux 5 / 6 / 7 : nss / nss-util (ELSA-2016-2779)	Nessus	Oracle Linux Local Security Checks	2016/11/17	2021/1/14	high
96643	GLSA-201701-46：Mozilla Network Security Service (NSS)：多个漏洞 (Logjam) (SLOTH)	Nessus	Gentoo Local Security Checks	2017/1/20	2022/12/5	high
94931	OracleVM 3.2：nss (OVMSA-2016-0160)	Nessus	OracleVM Local Security Checks	2016/11/17	2021/1/4	medium
95894	Amazon Linux AMI：nss-util / nss,nss-softokn (ALAS-2016-774)	Nessus	Amazon Linux Local Security Checks	2016/12/16	2018/4/18	high
96304	Ubuntu 14.04 LTS / 16.04 LTS：NSS 漏洞 (USN-3163-1)	Nessus	Ubuntu Local Security Checks	2017/1/5	2023/10/20	medium
94930	OracleVM 3.3 / 3.4：nssnss-util (OVMSA-2016-0159)	Nessus	OracleVM Local Security Checks	2016/11/17	2021/1/4	high
94912	RHEL 5 / 6 / 7：nss 和 nss-util (RHSA-2016:2779)	Nessus	Red Hat Local Security Checks	2016/11/16	2019/10/24	high
94981	CentOS 5 / 6 / 7 : nss / nss-util (CESA-2016:2779)	Nessus	CentOS Local Security Checks	2016/11/21	2021/1/4	high
95052	Scientific Linux 安全更新：SL5.x、SL6.x、SL7.x i386/x86_64 中的 nss 和 nss-util	Nessus	Scientific Linux Local Security Checks	2016/11/22	2021/1/14	high

检测

插件搜索

high

high

medium

high

medium

high

high

high

high