Amazon Linux AMI：nss-util / nss,nss-softokn (ALAS-2016-774)
high Nessus Plugin ID 95894
語系：
概要
遠端 Amazon Linux AMI 主機缺少安全性更新。說明
CVE-2016-2834 nss：多個安全性瑕疵 (MFSA 2016-61)在 NSS 處理來自網路的密碼編譯資料的方式中，發現多個緩衝區處理缺陷。遠端攻擊者可利用這些缺陷，造成使用 NSS 的應用程式損毀，或可能以執行該應用程式的使用者權限來執行任意程式碼。
CVE-2016-8635 nss：small-subgroups 攻擊缺陷
據發現，NSS 中的 Diffie Hellman 用戶端金鑰交換處理方式易於遭受小型子群組限制攻擊。攻擊者可利用此缺陷，透過將用戶端 DH 金鑰限定到所需群組的小型子群組中，重新取回私密金鑰。
CVE-2016-5285 nss：PK11_SignWithSymKey / ssl3_ComputeRecordMACConstantTime 中缺少 NULL 檢查會造成伺服器當機
在 NSS 處理無效 Diffie-Hellman 金鑰的方式中，發現一個 NULL 指標解除參照缺陷。遠端用戶端可利用此缺陷，造成使用 NSS 的 TLS/SSL 伺服器當機。
解決方案
執行「yum update nss-util」以更新系統。執行「yum update nss」以更新系統。
執行「yum update nss-softokn」以更新系統。
另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 95894
檔案名稱: ala_ALAS-2016-774.nasl
版本: 3.2
類型: local
代理程式: unix
已發布: 2016/12/16
已更新: 2018/4/18
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: High
基本分數: 9.3
媒介: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
CVSS v3
風險因素: High
基本分數: 8.8
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
弱點資訊
CPE: p-cpe:/a:amazon:linux:nss, p-cpe:/a:amazon:linux:nss-debuginfo, p-cpe:/a:amazon:linux:nss-devel, p-cpe:/a:amazon:linux:nss-pkcs11-devel, p-cpe:/a:amazon:linux:nss-softokn, p-cpe:/a:amazon:linux:nss-softokn-debuginfo, p-cpe:/a:amazon:linux:nss-softokn-devel, p-cpe:/a:amazon:linux:nss-softokn-freebl, p-cpe:/a:amazon:linux:nss-softokn-freebl-devel, p-cpe:/a:amazon:linux:nss-sysinit, p-cpe:/a:amazon:linux:nss-tools, p-cpe:/a:amazon:linux:nss-util, p-cpe:/a:amazon:linux:nss-util-debuginfo, p-cpe:/a:amazon:linux:nss-util-devel, cpe:/o:amazon:linux
必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
修補程式發佈日期: 2016/12/15
參考資訊
CVE: CVE-2016-2834, CVE-2016-5285, CVE-2016-8635
ALAS: 2016-774