在 mod_nss 处理每个目录上下文的 NSSVerifyClient 设置的方式中发现一个缺陷。当配置为不要求客户端证书用于初始连接，而只要求其用于特定目录时，mod_nss 无法实施此要求，并且允许客户端在未提供有效的客户端证书的情况下访问该目录。(CVE-2013-4566)

- mod_nss-CVE-2013-4566-NSSVerifyClient.diff 修复了 CVE-2013-4566：如果在 server / vhost 上下文中设置了“NSSVerifyClient none”（即将服务器配置为不在初始连接时请求证书认证或要求客户端证书认证）并且通过“NSSVerifyClient require”设置预期特定目录要求客户端证书认证，则 mod_nss 无法正确要求证书认证。远程攻击者可利用此问题来访问受限制目录的内容。[bnc#853039]

- 向 /etc/apache2/conf.d/mod_nss.conf 添加了合并文档：

- 同时使用 mod_ssl and mod_nss

- SNI 并发

- apache 配置的 SUSE 框架，Listen 指令

- 模块初始化

- mod_nss-conf.patch 已分别被 nss.conf.in 或 mod_nss.conf 的暂用版本淘汰。这样也会导致删除 mod_nss-negotiate.patch 和 mod_nss-tlsv1_1.patch 中特定区块中的 nss.conf.in。

- 添加了 mod_nss_migrate.pl 转换脚本；未安装来自源的修补程序，但已部分重写。

- 添加了 README-SUSE.txt，其中包含对如何转换和管理证书及密钥的逐步说明以及关于 SLES 中为何包含 mod_nss 的基本原理。

- 准备好进行提交的程序包 [bnc#847216]

- 程序包的一般清理：

- 明确的 Requires: to mozilla-nss >= 3.15.1，因为此版本包含 TLS-1.2 支持 - 这是 apache2-mod_nss 此版本更新背后的目的。Tracker 缺陷 [bnc#847216]

- 将 path /etc/apache2/alias 更改为 /etc/apache2/mod_nss.d 以避免含糊不清地解释目录名称。

- 若 /etc/apache2/alias 存在则将 /etc/apache2/alias 的内容合并到 /etc/apache2/mod_nss.d。

- 为 /etc/apache2/mod_nss.d 中 %post 生成的 *.db 文件设置明确的文件模式 640

此更新提供 apache2-mod_nss 1.0.14，带来了多个补丁和增强功能：

- 修复 OpenSSL 密码在 + 处停止解析的问题。
 (CVE-2016-3099)

- 已创建 valgrind 禁止显示文件以简化调试操作。

- 实现 SSL_PPTYPE_FILTER 以调用可执行文件，取得密钥密码 pin。

- migrate.pl 的改进。

- 更新默认密码，使其更现代化、更安全。

- 先检查 gencert 中的主机与 netstat 命令，然后再尝试使用。

- 为 DHE 密码添加服务器支持。

- 从服务器/客户端证书提取 SAN 至 env 中

- 修复由 clang 分析器捕获的内存泄漏及其他编码问题。

- 添加对 Server Name Indication (SNI) 的支持。

- 添加对反向代理连接的 SNI 的支持。

- 添加 RenegBufferSize? 选项。

- 添加对 TLS 会话票证的支持 (RFC 5077)。

- 修复 OpenSSL 密码兼容性中的逻辑 AND 支持。

- 正确处理已禁用的密码。(CVE-2015-5244)

- 实现更多 OpenSSL 加密宏。

- 修复一些不合法的内存访问与内存泄漏。

- 如果 NSS 中具有 SHA384 密码，便提供 SHA384 密码支持。

- 添加 mod_ssl-style 加密定义的兼容性。

- 添加 TLSv1.2 特定的密码。

- 完全删除对 SSLv2 的支持。

- 添加对 sqlite NSS 数据库的支持。

- 服务器启动期间比较主题的 CN 与 VS 主机名。

- 添加对启用 TLS v1.2 的支持。

- 默认情况下不启用 SSL 3。(CVE-2014-3566)

- 修复 CVE-2013-4566。

- 将 nss_pcache 移至 /usr/libexec。

- 支持 httpd 2.4+。

- 使用 apache2-systemd-ask-pass 提示证书通行短语。（bsc#972968、bsc#975394）

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

此更新提供 apache2-mod_nss 1.0.14，带来了多个补丁和增强功能：

- SHA256 密码名称的拼写从 *_sha256 变更为
*_sha_256。

- 舍弃 mod_nss_migrate.pl 并改用上游迁移脚本。

- 启动时检查 NSS 数据库的 Apache 用户所有者/群组读取权限。

- 更新默认密码，使其更现代化、更安全。

- 先检查 gencert 中的主机与 netstat 命令，然后再尝试使用。

- 启用 NSSFIPS 时不忽略 NSSProtocol。

- 使用正确的 shell 语法，避免在 gencert 中创建 /0。

- 为 DHE 密码添加服务器支持。

- 从服务器/客户端证书提取 SAN 到 env 中。

- 修复由 clang 分析器捕获的内存泄漏及其他编码问题。

- 添加对 Server Name Indication (SNI) 的支持

- 添加对反向代理连接的 SNI 的支持。

- 添加 RenegBufferSize? 选项。

- 添加对 TLS 会话票证的支持 (RFC 5077)。

- 实现更多 OpenSSL 加密宏。

- 修复一些不合法的内存访问与内存泄漏。

- 如果在 NSS 版本中针对 SHA384 密码建立 mod_nss 模块，则为该密码机制提供支持。

- 添加 SECURE_RENEG 环境变量。

- 无法初始化 NSS 数据库时，添加一些提示。

- 代码清理涉及末尾空白和编译器警告。

- 适当地更新 autotools 配置，添加 config.h。

- 针对 SNI 添加小测试套件。

- 添加 mod_ssl-style 加密定义的兼容性。

- 添加 Camelia 密码。

- 删除 Fortezza 密码。

- 添加 TLSv1.2 特定的密码。

- 重新协商握手时，初始化密码列表。

- 完全删除对 SSLv2 的支持。

- 添加对 sqlite NSS 数据库的支持。

- 服务器启动期间比较主题的 CN 与 VS 主机名。

- 添加对启用 TLS v1.2 的支持。

- 默认情况下不启用 SSL 3。(CVE-2014-3566)

- 改进协议测试。

- 添加 nss_pcache 手册页。

- 修复 nss_pcache 中的参数处理。

- 支持 httpd 2.4+。

- 允许用户配置帮助程序，通过 NSSPassPhraseDialog 请求证书的复杂密码。(bsc#975394)

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名稱	產品	系列	已發布	已更新	嚴重性
72266	Amazon Linux AMI：mod_nss (ALAS-2013-253)	Nessus	Amazon Linux Local Security Checks	2014/2/4	2018/4/18	medium
74874	openSUSE 安全更新：apache2-mod_nss (openSUSE-SU-2013:1956-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
93457	SUSE SLES12 安全更新：apache2-mod_nss (SUSE-SU-2016:2285-1) (POODLE)	Nessus	SuSE Local Security Checks	2016/9/13	2023/6/26	critical
93590	SUSE SLES11 安全更新：apache2-mod_nss (SUSE-SU-2016:2329-1) (POODLE)	Nessus	SuSE Local Security Checks	2016/9/19	2023/6/26	low

偵測

搜尋 Plugin

medium

medium

critical

low