在 nss 中發現一個弱點。

CVE-2015-4000

當伺服器上已啟用 DHE_EXPORT 加密套件但用戶端上未啟用時，TLS 通訊協定 1.2 及更舊版本未正確傳遞 DHE_EXPORT 選擇，其允許攔截式攻擊者藉由以 DHE_EXPORT 取代 DHE 來重寫 ClientHello，然後以 DHE 取代 DHE_EXPORT 來重寫 ServerHello，藉此發動密碼降級攻擊，亦即「Logjam」問題。

nss 的解決方案為不接受小於 1024 的位元長度。這可能是一個回溯不相容性問題，但由於本來就不應使用這類低位元長度，所以此方法被視為可以接受。

針對 Debian 7「Wheezy」，這些問題已在 2:3.14.5-1+deb7u7 版本中修正。

建議您升級 nss 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-507-1：nss 安全性更新 (Logjam)

low Nessus Plugin ID 91505

版本 2.7