1.修復(fù)的CVE ·CVE-2013-1739 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡(luò)安全服務(wù)庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.15.2之前的版本中存在安全漏洞，該漏洞源于程序在執(zhí)行讀操作之前沒有確保數(shù)據(jù)結(jié)構(gòu)初始化。遠程攻擊者可利用該漏洞造成拒絕服務(wù)或產(chǎn)生其他影響。 ·CVE-2013-1740 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡(luò)安全服務(wù)庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.15.3及之前的版本中的libssl軟件包中的sslsecur.c文件中的‘ssl_Do1stHandshake’函數(shù)中存在加密問題漏洞。當(dāng)使用TLS False Start功能時，攻擊者可通過在握手期間使用任意X.509證書利用該漏洞實施中間人攻擊，欺騙SSL服務(wù)器。 ·CVE-2013-1741 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡(luò)安全服務(wù)庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.15至3.15.2版本中存在整數(shù)溢出漏洞。遠程攻擊者可借助較大的‘size’值利用該漏洞造成拒絕服務(wù)或產(chǎn)生其他影響。 ·CVE-2013-5605 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡(luò)安全服務(wù)庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.14.5之前的3.14版本和3.15.3之前的3.15版本中存在安全漏洞。遠程攻擊者可借助無效的握手數(shù)據(jù)包利用該漏洞造成拒絕服務(wù)或產(chǎn)生其他影響。 ·CVE-2013-5606 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡(luò)安全服務(wù)庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.15.3之前的3.15版本中的lib/certhigh/certvfy.c文件中的‘CERT_VerifyCert’函數(shù)中存在安全漏洞，該漏洞源于當(dāng)‘CERTVerifyLog’參數(shù)有效時，程序?qū)Σ患嫒莸拿荑€用法證書提供返回值。遠程攻擊者可通過提供特制的證書利用該漏洞繞過既定的訪問限制。 ·CVE-2013-5607 描述：Netscape Portable Runtime（NSPR）是一個跨平臺庫，它提供了類型定義、線程同步、時間處理等的API和類似于libc的函數(shù)，被用在服務(wù)應(yīng)用程序中。NSPR 4.10.1及之前的版本中的‘PL_ArenaAllocate’函數(shù)中存在整數(shù)溢出漏洞。遠程攻擊者可借助特制的X.509證書利用該漏洞造成拒絕服務(wù)（應(yīng)用程序崩潰）或產(chǎn)生其他影響。以下版本受到影響：Firefox 25.0及之前的版本，F(xiàn)irefox ESR 17.0至17.0.10版本和24.0至24.0.2，SeaMonkey 2.22及之前的版本。 ·CVE-2014-1490 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡(luò)安全服務(wù)庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.15.3及之前的版本中的libssl中存在競爭條件漏洞。遠程攻擊者可利用該漏洞造成拒絕服務(wù)（釋放后重用），也可能執(zhí)行任意代碼。以下版本受到影響：Mozilla Firefox 26.0及之前的版本，F(xiàn)irefox ESR 24.1.0至24.2版本，Thunderbird 24.2及之前的版本，SeaMonkey 2.24 beta1及之前的版本。 ·CVE-2014-1491 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡(luò)安全服務(wù)庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.15.3及之前的版本中存在加密問題漏洞，該漏洞源于在Diffie-Hellman密鑰交換期間程序沒有限制使用公共的DH值。遠程攻擊者可通過使用某些值利用該漏洞繞過加密保護機制。以下版本受到影響：Mozilla Firefox 26.0及之前的版本，F(xiàn)irefox ESR 24.1.0至24.2版本，Thunderbird 24.2及之前的版本，SeaMonkey 2.24 beta1及之前的版本。 ·CVE-2014-1492 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡(luò)安全服務(wù)庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.15及之前的版本的certificate-checking實現(xiàn)過程中的lib/certdb/certdb.c文件的‘cert_TestHostName’函數(shù)存在安全漏洞。攻擊者可借助特制的證書利用該漏洞欺騙SSL服務(wù)器。 ·CVE-2014-1544 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡(luò)安全服務(wù)庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。多款Mozilla產(chǎn)品中使用的NSS中l(wèi)ibnss3.so文件的‘CERT_DestroyCertificate’函數(shù)存在釋放后重用漏洞，該漏洞源于程序從可信域中不正確的移除了NSSCertificate結(jié)構(gòu)。遠程攻擊者可利用該漏洞執(zhí)行任意代碼。以下版本受到影響：Firefox 30.0及之前版本，F(xiàn)irefox ESR 24.7之前的24.x版本和Thunderbird 24.6及之前版本。 ·CVE-2014-1545 描述：Netscape Portable Runtime（NSPR）是一個跨平臺庫，它提供了類型定義、線程同步、時間處理等的API和類似于libc的函數(shù)，被用在服務(wù)應(yīng)用程序中。NSPR 4.10.5及之前的版本中的‘sprintf’和‘console’函數(shù)存在安全漏洞。遠程攻擊者可利用該漏洞執(zhí)行任意代碼或造成拒絕服務(wù)（越邊界寫入）。 ·CVE-2014-1569 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡(luò)安全服務(wù)庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.16.2.4之前版本和3.17.3之前3.17.x版本的lib/util/quickder.c文件中的‘definite_length_decoder’函數(shù)存在安全漏洞，該漏洞源于程序沒有正確處理ASN.1長度的DER編碼。遠程攻擊者可借助編碼中的超長字節(jié)序列利用該漏洞實施data-smuggling攻擊。 ·CVE-2015-7181 描述：Mozilla Firefox和Firefox ESR都是由美國Mozilla基金會開發(fā)。Firefox是一款開源Web瀏覽器；Firefox ESR是Firefox的一個延長支持版本。Mozilla Network Security Services（NSS）是一個函數(shù)庫（網(wǎng)絡(luò)安全服務(wù)庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla Firefox和Firefox ESR中使用的Mozilla NSS中的‘sec_asn1d_parse_leaf’函數(shù)存在安全漏洞，該漏洞源于程序沒有正確限制訪問數(shù)據(jù)結(jié)構(gòu)體。遠程攻擊者可借助特制的OCTET STRING數(shù)據(jù)利用該漏洞造成拒絕服務(wù)（應(yīng)用程序崩潰），或執(zhí)行任意代碼。以下產(chǎn)品及版本受到影響：Mozilla Firefox 42.0.2及之前版本，F(xiàn)irefox ESR 38.4之前38.x版本，Mozilla NSS 3.19.2.0及之前版本，3.20.0版本。 ·CVE-2015-7182 描述：Mozilla Firefox和Firefox ESR都是由美國Mozilla基金會開發(fā)。Firefox是一款開源Web瀏覽器；Firefox ESR是Firefox的一個延長支持版本。Mozilla Network Security Services（NSS）是一個函數(shù)庫（網(wǎng)絡(luò)安全服務(wù)庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Firefox和Firefox ESR中使用的Mozilla NSS中的ASN.1解碼器中存在基于堆的緩沖區(qū)溢出漏洞。遠程攻擊者可借助特制的OCTET STRING數(shù)據(jù)利用該漏洞造成拒絕服務(wù)（應(yīng)用程序崩潰），或執(zhí)行任意代碼。以下產(chǎn)品及版本受到影響：Mozilla Firefox 42.0.2及之前版本，F(xiàn)irefox ESR 38.4之前38.x版本，Mozilla NSS 3.19.2.0及之前版本，3.20.0版本。 ·CVE-2015-7183 描述：Mozilla Firefox和Firefox ESR都是由美國Mozilla基金會開發(fā)。Firefox是一款開源Web瀏覽器；Firefox ESR是Firefox的一個延長支持版本。Mozilla Network Security Services（NSS）是一個函數(shù)庫（網(wǎng)絡(luò)安全服務(wù)庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla Firefox和Firefox ESR中使用的Mozilla NSS中的Netscape Portable Runtime(NSPR)中的PL_ARENA_ALLOCATE實現(xiàn)過程存在整數(shù)溢出漏洞。遠程攻擊者可利用該漏洞造成拒絕服務(wù)（內(nèi)存損壞和應(yīng)用程序崩潰），或執(zhí)行任意代碼。以下產(chǎn)品及版本受到影響：Mozilla Firefox 42.0.2及之前版本，F(xiàn)irefox ESR 38.4之前38.x版本，Mozilla NSS 3.19.2.0及之前版本，3.20.0版本。 ·CVE-2016-1978 描述：Mozilla Firefox是美國Mozilla基金會開發(fā)的一款開源Web瀏覽器。Mozilla Network Security Services（NSS）是一個函數(shù)庫（網(wǎng)絡(luò)安全服務(wù)庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla Firefox 44.0之前版本中使用的Mozilla NSS 3.21之前版本的‘ssl3_HandleECDHServerKeyExchange’函數(shù)中存在釋放后重用漏洞，該漏洞源于程序在DHE和ECDHE握手期間沒有成功分配內(nèi)存。遠程攻擊者可利用該漏洞造成拒絕服務(wù)。 ·CVE-2016-1979 描述：Mozilla Firefox是美國Mozilla基金會開發(fā)的一款開源Web瀏覽器。Mozilla Network Security Services（NSS）是一個函數(shù)庫（網(wǎng)絡(luò)安全服務(wù)庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla Firefox 45.0之前版本中使用的Mozilla NSS 3.21.1之前版本的‘PK11_ImportDERPrivateKeyInfoAndReturnKey’函數(shù)中存在釋放后重用漏洞。遠程攻擊者可借助帶有DER編碼的密鑰數(shù)據(jù)利用該漏洞造成拒絕服務(wù)。 2.受影響的軟件包 ·中標麒麟高級服務(wù)器操作系統(tǒng) V6 ·x86_64架構(gòu): nspr、nspr-devel 3.軟件包修復(fù)版本 ·中標麒麟高級服務(wù)器操作系統(tǒng) V6 (x86_64) nspr-4.13.1-1.el6或以上版本 nspr-devel-4.13.1-1.el6或以上版本 4.修復(fù)方法 方法一：配置源進行升級安裝 1.打開軟件包源配置文件，根據(jù)倉庫地址進行修改。 倉庫源地址： 中標麒麟高級服務(wù)器操作系統(tǒng) V6 x86_64:https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/ 2.配置完成后執(zhí)行更新命令進行升級，命令如下： yum update Packagename 方法二：下載安裝包進行升級安裝 通過軟件包地址下載軟件包，使用軟件包升級命令根據(jù)受影響的軟件包 列表進行升級安裝, 命令如下： yum install Packagename 3.升級完成后是否需要重啟服務(wù)或操作系統(tǒng)： CVE-2013-1739:需要重啟 nspr 以使漏洞修復(fù)生效。 CVE-2013-1740:需要重啟 nspr 以使漏洞修復(fù)生效。 CVE-2013-1741:需要重啟 nspr 以使漏洞修復(fù)生效。 CVE-2013-5605:需要重啟 nspr 以使漏洞修復(fù)生效。 CVE-2013-5606:需要重啟 nspr 以使漏洞修復(fù)生效。 CVE-2013-5607:需要重啟 nspr 以使漏洞修復(fù)生效。 CVE-2014-1490:需要重啟 nspr 以使漏洞修復(fù)生效。 CVE-2014-1491:需要重啟 nspr 以使漏洞修復(fù)生效。 CVE-2014-1492:需要重啟 nspr 以使漏洞修復(fù)生效。 CVE-2014-1544:需要重啟 nspr 以使漏洞修復(fù)生效。 CVE-2014-1545:需要重啟 nspr 以使漏洞修復(fù)生效。 CVE-2014-1569:需要重啟 nspr 以使漏洞修復(fù)生效。 CVE-2015-7181:需要重啟 nspr 以使漏洞修復(fù)生效。 CVE-2015-7182:需要重啟 nspr 以使漏洞修復(fù)生效。 CVE-2015-7183:需要重啟 nspr 以使漏洞修復(fù)生效。 CVE-2016-1978:需要重啟 nspr 以使漏洞修復(fù)生效。 CVE-2016-1979:需要重啟 nspr 以使漏洞修復(fù)生效。 5.軟件包下載地址 ·中標麒麟高級服務(wù)器操作系統(tǒng) V6 nspr(x86_64)軟件包下載地址: https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/Packages/nspr-4.13.1-1.el6.i686.rpm https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/Packages/nspr-4.13.1-1.el6.x86_64.rpm https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/Packages/nspr-devel-4.13.1-1.el6.i686.rpm https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/Packages/nspr-devel-4.13.1-1.el6.x86_64.rpm 注：其他相關(guān)依賴包請到相同目錄下載 6.修復(fù)驗證 使用軟件包查詢命令，查看相關(guān)軟件包版本是否與修復(fù)版本一致，如果版本一致，則說明修復(fù)成功。 sudo rpm -qa | grep Packagename