此安全性更新修正 NSS 中的嚴重安全性問題，包括任意程式碼執行和遠端拒絕服務攻擊。

針對 Debian 7「wheezy」，這些問題已在 3.14.5-1+deb7u6 版本中修正。建議您盡快升級 nss 套件。

CVE-2015-7181

sec_asn1d_parse_leaf 函式不當限制對不明資料結構的存取。

CVE-2015-7182

ASN.1 解碼器中的堆積型緩衝區溢位。

CVE-2016-1938

lib/freebl/mpi/mpi.c 中的 s_mp_div 函式不當除以數字，其可讓遠端攻擊者更容易破解密碼編譯保護機制。

CVE-2016-1950

堆積型緩衝區溢位可讓遠端攻擊者透過 X.509 憑證中的特製 ASN.1 資料來執行任意程式碼。

CVE-2016-1978

ssl3_HandleECDHServerKeyExchange 函式中的釋放後使用弱點可讓遠端攻擊者藉著在高度記憶體消耗時進行 SSL (1) DHE 或 (2) ECDHE 交握，而造成拒絕服務或可能有其他不明影響。

CVE-2016-1979

PK11_ImportDERPrivateKeyInfoAndReturnKey 函式中的釋放後使用弱點可讓遠端攻擊者透過以 DER 編碼的特製金鑰資料，造成拒絕服務或可能有其他不明影響。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-480-1：nss 安全性更新

critical Nessus Plugin ID 91242

找不到變更記錄