出典：Red Hatセキュリティアドバイザリ2017：1365：nssの更新がRed Hat Enterprise Linux 7用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。NSS（Network Security Services）は、セキュリティが有効なクライアントおよびサーバーのアプリケーションのクロスプラットフォーム開発をサポートするライブラリセットです。セキュリティ修正プログラム：* NSSが空のSSLv2メッセージを処理する方法に、NULLポインターのデリファレンスの欠陥が見つかりました。攻撃者がこの欠陥を利用して、NSSライブラリに対してコンパイルされたサーバーアプリケーションをクラッシュさせる可能性があります。（CVE-2017-7502）バグ修正プログラム：* 最新のMozilla Firefox延長サポート版（ESR）で公開されている推奨事項を満たすために、NSS（Network Security Services）コードとCA（認証局）のリストが更新されました。CAリストの更新により、インターネット公開鍵インフラストラクチャ（PKI）で使用される証明書との互換性が向上します。証明書の検証の拒否を避けるために、Red Hatは2017年6月12日に、更新されたCAリストをインストールすることを推奨しています。（BZ#1451421）

セキュリティ修正プログラム:

  - NSSが空のSSLv2メッセージを処理する方法に、NULLポインターのデリファレンスの欠陥が見つかりました。攻撃者がこの欠陥を利用して、NSSライブラリに対してコンパイルされたサーバーアプリケーションをクラッシュさせる可能性があります。（CVE-2017-7502）

バグ修正プログラム:

  - 最新のMozilla Firefox延長サポート版（ESR）で公開されている推奨事項を満たすために、NSS（Network Security Services）コードとCA（認証局）のリストが更新されました。CAリストの更新により、インターネット公開鍵インフラストラクチャ（PKI）で使用される証明書との互換性が向上します。証明書の検証の拒否を避けるために、2017年6月12日に更新されたCAリストをインストールすることを検討してください。

NSSが空のSSLv2メッセージを不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用してNSSをクラッシュさせ、サービス拒否を引き起こす可能性があります。

注意: Tenable Network Security は、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - サーバーが空の SSLv2 メッセージを受信する際に 3.24.0 が見つかったため、リモートの攻撃者によるサービス拒否を引き起こす、NSS の Null ポインターデリファレンスの脆弱性。 （CVE-2017-7502）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Oracle Linux 6 host has packages installed that are affected by a vulnerability as referenced in the ELSA-2017-1364 advisory.

    [3.28.4-3.0.1]
    - Added nss-vendor.patch to change vendor
    - Temporarily disable some tests until expired PayPalEE.cert is renewed

    [3.28.4-3]
    - Fix zero-length record treatment for stream ciphers and SSLv2

    [3.28.4-2]
    - Include CKBI 2.14 and updated CA constraints from NSS 3.28.5

Tenable has extracted the preceding description block directly from the Oracle Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 6 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2017:1364 advisory.

    Network Security Services (NSS) is a set of libraries designed to support the cross-platform development     of security-enabled client and server applications.

    Security Fix(es):

    * A null pointer dereference flaw was found in the way NSS handled empty SSLv2 messages. An attacker could     use this flaw to crash a server application compiled against the NSS library. (CVE-2017-7502)

    Bug Fix(es):

    * The Network Security Services (NSS) code and Certificate Authority (CA) list have been updated to meet     the recommendations as published with the latest Mozilla Firefox Extended Support Release (ESR). The     updated CA list improves compatibility with the certificates that are used in the Internet Public Key     Infrastructure (PKI). To avoid certificate validation refusals, Red Hat recommends installing the updated     CA list on June 12, 2017. (BZ#1448488)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Security Fix(es) :

  - A NULL pointer dereference flaw was found in the way NSS     handled empty SSLv2 messages. An attacker could use this     flaw to crash a server application compiled against the     NSS library. (CVE-2017-7502)

Bug Fix(es) :

  - The Network Security Services (NSS) code and Certificate     Authority (CA) list have been updated to meet the     recommendations as published with the latest Mozilla     Firefox Extended Support Release (ESR). The updated CA     list improves compatibility with the certificates that     are used in the Internet Public Key Infrastructure     (PKI). To avoid certificate validation refusals,     consider installing the updated CA list on June 12,     2017.

According to the version of the nss packages installed, the EulerOS installation on the remote host is affected by the following vulnerability :

  - A null pointer dereference flaw was found in the way     NSS handled empty SSLv2 messages. An attacker could use     this flaw to crash a server application compiled     against the NSS library. (CVE-2017-7502)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote NewStart CGSL host, running version MAIN 4.05, has nss packages installed that are affected by multiple vulnerabilities:

  - An out-of-bounds write flaw was found in the way NSS     performed certain Base64-decoding operations. An     attacker could use this flaw to create a specially     crafted certificate which, when parsed by NSS, could     cause it to crash or execute arbitrary code, using the     permissions of the user running an application compiled     against the NSS library. (CVE-2017-5461)

  - A null pointer dereference flaw was found in the way NSS     handled empty SSLv2 messages. An attacker could use this     flaw to crash a server application compiled against the     NSS library. (CVE-2017-7502)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
100526	Oracle Linux 7：nss（ELSA-2017-1365）	Nessus	Oracle Linux Local Security Checks	5/31/2017	11/1/2024	high
100536	Scientific Linux セキュリティ更新: SL7.x x86_64のnss（20170530）	Nessus	Scientific Linux Local Security Checks	5/31/2017	1/14/2021	high
100988	Ubuntu 14.04LTS / 16.04LTS: NSS の脆弱性 (USN-3336-1)	Nessus	Ubuntu Local Security Checks	6/22/2017	8/27/2024	high
221690	Linux Distros のパッチ未適用の脆弱性: CVE-2017-7502	Nessus	Misc.	3/4/2025	3/4/2025	high
100525	Oracle Linux 6 : nss (ELSA-2017-1364)	Nessus	Oracle Linux Local Security Checks	5/31/2017	10/22/2024	high
100531	RHEL 6 : nss (RHSA-2017:1364)	Nessus	Red Hat Local Security Checks	5/31/2017	11/4/2024	high
100535	Scientific Linux Security Update : nss on SL6.x i386/x86_64 (20170530)	Nessus	Scientific Linux Local Security Checks	5/31/2017	1/14/2021	high
100701	EulerOS 2.0 SP1 : nss (EulerOS-SA-2017-1108)	Nessus	Huawei Local Security Checks	6/9/2017	1/6/2021	high
127337	NewStart CGSL MAIN 4.05 : nss Multiple Vulnerabilities (NS-SA-2019-0105)	Nessus	NewStart CGSL Local Security Checks	8/12/2019	1/14/2021	critical

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

critical