此更新提供 apache2-mod_nss 1.0.14，帶來了數個修正和增強功能：

- SHA256 密碼名稱將拼法從 *_sha256 變更為
*_sha_256。

- 捨棄 mod_nss_migrate.pl 並改用上游移轉指令碼。

- 於啟動時檢查 NSS 資料庫的 Apache 使用者擁有者/群組讀取權限。

- 更新預設密碼，使其更現代化、更安全。

- 先檢查 gencert 中的主機與 netstat 命令，然後再嘗試使用。

- 啟用 NSSFIPS 時不要忽略 NSSProtocol。

- 使用正確的 shell 語法來避免在 gencert 中建立 /0。

- 為 DHE 密碼新增伺服器支援。

- 從伺服器/用戶端憑證擷取 SAN 至 env 中。

- 修正由 clang 分析器擷取的記憶體洩漏及其他編碼問題。

- 新增對 Server Name Indication (SNI) 的支援

- 新增對反向代理伺服器連線之 SNI 的支援。

- 新增 RenegBufferSize? 選項。

- 新增對 TLS 工作階段票證的支援 (RFC 5077)。

- 實作更多 OpenSSL 加密巨集。

- 修正一些不合法的記憶體存取與記憶體洩漏問題。

- 如果在針對其建立 mod_nss 的 NSS 版本中有 SHA384 密碼，則支援該密碼。

- 新增 SECURE_RENEG 環境變數。

- 無法初始化 NSS 資料庫時新增一些提示。

- 程式碼清理包含結尾空白與編譯器警告。

- 稍微最新化 autotools 組態，新增 config.h。

- 針對 SNI 新增小測試套件。

- 新增 mod_ssl-style 加密定義的相容性。

- 新增 Camelia 密碼。

- 移除 Fortezza 密碼。

- 新增 TLSv1.2 特定的密碼。

- 當重新交涉交握時，初始化密碼清單。

- 完全移除對 SSLv2 的支援。

- 新增對 sqlite NSS 資料庫的支援。

- 伺服器啟動期間比較主體 CN 與 VS 主機名稱。

- 新增對啟用 TLS v1.2 的支援。

- 預設不啟用 SSL 3。(CVE-2014-3566)

- 改善通訊協定測試。

- 新增 nss_pcache 手冊頁。

- 修正 nss_pcache 中的引數處理。

- 支援 httpd 2.4+。

- 允許使用者設定協助程式來透過 NSSPassPhraseDialog 要求憑證複雜密碼。(bsc#975394)

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

更新后的 mod_nss 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

mod_nss 模块使用网络安全服务 (NSS) 安全库，通过安全套接字层 (SSL) 和传输层安全 (TLS) 协议为 Apache HTTP Server 提供强密码。

在 mod_nss 处理每个目录上下文的 NSSVerifyClient 设置的方式中发现一个缺陷。当配置为不要求客户端证书用于初始连接，而只要求其用于特定目录时，mod_nss 无法实施此要求，并且允许客户端在未提供有效的客户端证书的情况下访问该目录。(CVE-2013-4566)

Red Hat 在此感谢 OUSD(AT&L) 的 Albert Smith 报告此问题。

所有 mod_nss 用户都应升级此更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。必须重新启动 httpd 服务才能使此更新生效。

当同时用于 server / vhost 上下文以及目录上下文（通过 <Directory> 或 <Location> 指令指定）时，在处理 NSSVerifyClient 的方式中发现一个缺陷。如果在 server / vhost 上下文中设置了“NSSVerifyClient none”（即服务器配置为在初始连接时不请求或不要求客户端证书认证），且预期要求通过“NSSVerifyClient require”设置对特定目录进行客户端证书认证，则 mod_nss 无法正确要求预期的证书认证。能够连接到 Web 服务器的、使用此类 mod_nss 配置且没有有效客户端证书的远程攻击者可能利用此缺陷访问受限目录的内容。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在 mod_nss 处理每个目录上下文的 NSSVerifyClient 设置的方式中发现一个缺陷。当配置为不要求客户端证书用于初始连接，而只要求其用于特定目录时，mod_nss 无法实施此要求，并且允许客户端在未提供有效的客户端证书的情况下访问该目录。(CVE-2013-4566)

- mod_nss-CVE-2013-4566-NSSVerifyClient.diff 修复了 CVE-2013-4566：如果在 server / vhost 上下文中设置了“NSSVerifyClient none”（即将服务器配置为不在初始连接时请求证书认证或要求客户端证书认证）并且通过“NSSVerifyClient require”设置预期特定目录要求客户端证书认证，则 mod_nss 无法正确要求证书认证。远程攻击者可利用此问题来访问受限制目录的内容。[bnc#853039]

- 向 /etc/apache2/conf.d/mod_nss.conf 添加了合并文档：

- 同时使用 mod_ssl and mod_nss

- SNI 并发

- apache 配置的 SUSE 框架，Listen 指令

- 模块初始化

- mod_nss-conf.patch 已分别被 nss.conf.in 或 mod_nss.conf 的暂用版本淘汰。这样也会导致删除 mod_nss-negotiate.patch 和 mod_nss-tlsv1_1.patch 中特定区块中的 nss.conf.in。

- 添加了 mod_nss_migrate.pl 转换脚本；未安装来自源的修补程序，但已部分重写。

- 添加了 README-SUSE.txt，其中包含对如何转换和管理证书及密钥的逐步说明以及关于 SLES 中为何包含 mod_nss 的基本原理。

- 准备好进行提交的程序包 [bnc#847216]

- 程序包的一般清理：

- 明确的 Requires: to mozilla-nss >= 3.15.1，因为此版本包含 TLS-1.2 支持 - 这是 apache2-mod_nss 此版本更新背后的目的。Tracker 缺陷 [bnc#847216]

- 将 path /etc/apache2/alias 更改为 /etc/apache2/mod_nss.d 以避免含糊不清地解释目录名称。

- 若 /etc/apache2/alias 存在则将 /etc/apache2/alias 的内容合并到 /etc/apache2/mod_nss.d。

- 为 /etc/apache2/mod_nss.d 中 %post 生成的 *.db 文件设置明确的文件模式 640

此更新提供 apache2-mod_nss 1.0.14，带来了多个补丁和增强功能：

- SHA256 密码名称的拼写从 *_sha256 变更为
*_sha_256。

- 舍弃 mod_nss_migrate.pl 并改用上游迁移脚本。

- 启动时检查 NSS 数据库的 Apache 用户所有者/群组读取权限。

- 更新默认密码，使其更现代化、更安全。

- 先检查 gencert 中的主机与 netstat 命令，然后再尝试使用。

- 启用 NSSFIPS 时不忽略 NSSProtocol。

- 使用正确的 shell 语法，避免在 gencert 中创建 /0。

- 为 DHE 密码添加服务器支持。

- 从服务器/客户端证书提取 SAN 到 env 中。

- 修复由 clang 分析器捕获的内存泄漏及其他编码问题。

- 添加对 Server Name Indication (SNI) 的支持

- 添加对反向代理连接的 SNI 的支持。

- 添加 RenegBufferSize? 选项。

- 添加对 TLS 会话票证的支持 (RFC 5077)。

- 实现更多 OpenSSL 加密宏。

- 修复一些不合法的内存访问与内存泄漏。

- 如果在 NSS 版本中针对 SHA384 密码建立 mod_nss 模块，则为该密码机制提供支持。

- 添加 SECURE_RENEG 环境变量。

- 无法初始化 NSS 数据库时，添加一些提示。

- 代码清理涉及末尾空白和编译器警告。

- 适当地更新 autotools 配置，添加 config.h。

- 针对 SNI 添加小测试套件。

- 添加 mod_ssl-style 加密定义的兼容性。

- 添加 Camelia 密码。

- 删除 Fortezza 密码。

- 添加 TLSv1.2 特定的密码。

- 重新协商握手时，初始化密码列表。

- 完全删除对 SSLv2 的支持。

- 添加对 sqlite NSS 数据库的支持。

- 服务器启动期间比较主题的 CN 与 VS 主机名。

- 添加对启用 TLS v1.2 的支持。

- 默认情况下不启用 SSL 3。(CVE-2014-3566)

- 改进协议测试。

- 添加 nss_pcache 手册页。

- 修复 nss_pcache 中的参数处理。

- 支持 httpd 2.4+。

- 允许用户配置帮助程序，通过 NSSPassPhraseDialog 请求证书的复杂密码。(bsc#975394)

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

此更新提供 apache2-mod_nss 1.0.14，带来了多个补丁和增强功能：

- 修复 OpenSSL 密码在 + 处停止解析的问题。
 (CVE-2016-3099)

- 已创建 valgrind 禁止显示文件以简化调试操作。

- 实现 SSL_PPTYPE_FILTER 以调用可执行文件，取得密钥密码 pin。

- migrate.pl 的改进。

- 更新默认密码，使其更现代化、更安全。

- 先检查 gencert 中的主机与 netstat 命令，然后再尝试使用。

- 为 DHE 密码添加服务器支持。

- 从服务器/客户端证书提取 SAN 至 env 中

- 修复由 clang 分析器捕获的内存泄漏及其他编码问题。

- 添加对 Server Name Indication (SNI) 的支持。

- 添加对反向代理连接的 SNI 的支持。

- 添加 RenegBufferSize? 选项。

- 添加对 TLS 会话票证的支持 (RFC 5077)。

- 修复 OpenSSL 密码兼容性中的逻辑 AND 支持。

- 正确处理已禁用的密码。(CVE-2015-5244)

- 实现更多 OpenSSL 加密宏。

- 修复一些不合法的内存访问与内存泄漏。

- 如果 NSS 中具有 SHA384 密码，便提供 SHA384 密码支持。

- 添加 mod_ssl-style 加密定义的兼容性。

- 添加 TLSv1.2 特定的密码。

- 完全删除对 SSLv2 的支持。

- 添加对 sqlite NSS 数据库的支持。

- 服务器启动期间比较主题的 CN 与 VS 主机名。

- 添加对启用 TLS v1.2 的支持。

- 默认情况下不启用 SSL 3。(CVE-2014-3566)

- 修复 CVE-2013-4566。

- 将 nss_pcache 移至 /usr/libexec。

- 支持 httpd 2.4+。

- 使用 apache2-systemd-ask-pass 提示证书通行短语。（bsc#972968、bsc#975394）

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	Name	Product	Family	Published	Updated	Severity
93590	SUSE SLES11 安全性更新：apache2-mod_nss (SUSE-SU-2016:2329-1) (POODLE)	Nessus	SuSE Local Security Checks	9/19/2016	6/26/2023	low
71190	RHEL 5 / 6：mod_nss (RHSA-2013:1779)	Nessus	Red Hat Local Security Checks	12/4/2013	1/14/2021	medium
71383	Fedora 18：mod_nss-1.0.8-27.fc18 (2013-22786)	Nessus	Fedora Local Security Checks	12/13/2013	1/11/2021	medium
71420	Fedora 20：mod_nss-1.0.8-28.fc20 (2013-22730)	Nessus	Fedora Local Security Checks	12/14/2013	1/11/2021	medium
72266	Amazon Linux AMI：mod_nss (ALAS-2013-253)	Nessus	Amazon Linux Local Security Checks	2/4/2014	4/18/2018	medium
74874	openSUSE 安全更新：apache2-mod_nss (openSUSE-SU-2013:1956-1)	Nessus	SuSE Local Security Checks	6/13/2014	1/19/2021	medium
93590	SUSE SLES11 安全更新：apache2-mod_nss (SUSE-SU-2016:2329-1) (POODLE)	Nessus	SuSE Local Security Checks	9/19/2016	6/26/2023	low
93457	SUSE SLES12 安全更新：apache2-mod_nss (SUSE-SU-2016:2285-1) (POODLE)	Nessus	SuSE Local Security Checks	9/13/2016	6/26/2023	critical

Detections

Analytics

Plugins Search

low

medium

medium

medium

medium

medium

low

critical