1.修復的CVE ·CVE-2012-0441 描述：Mozilla Network Security Services（NSS）3.13.4之前版本的QuickDER解碼器的ASN.1解碼器，被用于Firefox 4.x至12.0版本，F(xiàn)irefox ESR 10.0.5之前的10.x版本，Thunderbird 5.0至12.0版本，Thunderbird ESR 10.0.5之前的10.x版本與SeaMonkey 2.10之前版本時存在漏洞。遠程攻擊者可利用該漏洞借助zero-length項目導致拒絕服務（應用程序崩潰），通過(1)zero-length基本約束或者(2)OCSP響應的zero-length字段所證明。 ·CVE-2013-0743 描述：Mozilla Mozilla Firefox是美國Mozilla基金會開發(fā)的一款開源Web瀏覽器。Mozilla Firefox、Thunderbird、SeaMonkey中存在多個安全漏洞。攻擊者利用這些漏洞在執(zhí)行任意腳本或HTML代碼，竊取基于cookie認證證書，在受影響應用程序上下文中執(zhí)行任意代碼，將受影響應用程序崩潰，獲得潛在的敏感信息，獲得提升的權限，繞過安全限制，進而執(zhí)行未授權操作，也可能存在其他攻擊。以下版本中已修復：Firefox 18.0、Firefox ESR 10.0.12、Firefox ESR 17.0.2、Thunderbird 17.0.2、Thunderbird ESR 10.0.12、Thunderbird ESR 17.0.2 SeaMonkey 2.15版本。 ·CVE-2013-0791 描述：Mozilla Firefox、SeaMonkey和Thunderbird都是由美國Mozilla基金會開發(fā)。Firefox是一款開源Web瀏覽器。SeaMonkey是一套免費、開源以及跨平臺的網(wǎng)絡套裝軟件。Thunderbird是從Mozilla Application Suite中獨立出來的一套電子郵件客戶端軟件。Mozilla Firefox 20.0之前版本，F(xiàn)irefox ESR 17.0.5之前的17.x版本，Thunderbird 17.0.5之前版本，Thunderbird ESR 17.0.5之前的17.x版本，SeaMonkey 2.17之前版本以及其它產(chǎn)品中的Mozilla Network Security Services(NSS)中的CERT_DecodeCertPackage函數(shù)中存在漏洞。遠程攻擊者可通過特制證書利用該漏洞造成拒絕服務（越界讀取以及內(nèi)存破壞）。 ·CVE-2013-1620 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla Network Security Services (NSS)中的TLS實現(xiàn)中存在漏洞，該漏洞源于程序在處理畸形的CBC填充期間沒有正確地研究針對固執(zhí)的MAC地址檢查操作所進行的計時邊信道攻擊。通過對特制報文的計時數(shù)據(jù)的統(tǒng)計分析，遠程攻擊者可利用該漏洞實施區(qū)分攻擊以及明文恢復攻擊。 ·CVE-2013-1739 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.15.2之前的版本中存在安全漏洞，該漏洞源于程序在執(zhí)行讀操作之前沒有確保數(shù)據(jù)結(jié)構(gòu)初始化。遠程攻擊者可利用該漏洞造成拒絕服務或產(chǎn)生其他影響。 ·CVE-2013-1740 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.15.3及之前的版本中的libssl軟件包中的sslsecur.c文件中的‘ssl_Do1stHandshake’函數(shù)中存在加密問題漏洞。當使用TLS False Start功能時，攻擊者可通過在握手期間使用任意X.509證書利用該漏洞實施中間人攻擊，欺騙SSL服務器。 ·CVE-2013-1741 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.15至3.15.2版本中存在整數(shù)溢出漏洞。遠程攻擊者可借助較大的‘size’值利用該漏洞造成拒絕服務或產(chǎn)生其他影響。 ·CVE-2013-5605 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.14.5之前的3.14版本和3.15.3之前的3.15版本中存在安全漏洞。遠程攻擊者可借助無效的握手數(shù)據(jù)包利用該漏洞造成拒絕服務或產(chǎn)生其他影響。 ·CVE-2013-5606 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.15.3之前的3.15版本中的lib/certhigh/certvfy.c文件中的‘CERT_VerifyCert’函數(shù)中存在安全漏洞，該漏洞源于當‘CERTVerifyLog’參數(shù)有效時，程序?qū)Σ患嫒莸拿荑€用法證書提供返回值。遠程攻擊者可通過提供特制的證書利用該漏洞繞過既定的訪問限制。 ·CVE-2013-5607 描述：Netscape Portable Runtime（NSPR）是一個跨平臺庫，它提供了類型定義、線程同步、時間處理等的API和類似于libc的函數(shù)，被用在服務應用程序中。NSPR 4.10.1及之前的版本中的‘PL_ArenaAllocate’函數(shù)中存在整數(shù)溢出漏洞。遠程攻擊者可借助特制的X.509證書利用該漏洞造成拒絕服務（應用程序崩潰）或產(chǎn)生其他影響。以下版本受到影響：Firefox 25.0及之前的版本，F(xiàn)irefox ESR 17.0至17.0.10版本和24.0至24.0.2，SeaMonkey 2.22及之前的版本。 ·CVE-2014-1490 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.15.3及之前的版本中的libssl中存在競爭條件漏洞。遠程攻擊者可利用該漏洞造成拒絕服務（釋放后重用），也可能執(zhí)行任意代碼。以下版本受到影響：Mozilla Firefox 26.0及之前的版本，F(xiàn)irefox ESR 24.1.0至24.2版本，Thunderbird 24.2及之前的版本，SeaMonkey 2.24 beta1及之前的版本。 ·CVE-2014-1491 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.15.3及之前的版本中存在加密問題漏洞，該漏洞源于在Diffie-Hellman密鑰交換期間程序沒有限制使用公共的DH值。遠程攻擊者可通過使用某些值利用該漏洞繞過加密保護機制。以下版本受到影響：Mozilla Firefox 26.0及之前的版本，F(xiàn)irefox ESR 24.1.0至24.2版本，Thunderbird 24.2及之前的版本，SeaMonkey 2.24 beta1及之前的版本。 ·CVE-2014-1492 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.15及之前的版本的certificate-checking實現(xiàn)過程中的lib/certdb/certdb.c文件的‘cert_TestHostName’函數(shù)存在安全漏洞。攻擊者可借助特制的證書利用該漏洞欺騙SSL服務器。 ·CVE-2014-1544 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。多款Mozilla產(chǎn)品中使用的NSS中l(wèi)ibnss3.so文件的‘CERT_DestroyCertificate’函數(shù)存在釋放后重用漏洞，該漏洞源于程序從可信域中不正確的移除了NSSCertificate結(jié)構(gòu)。遠程攻擊者可利用該漏洞執(zhí)行任意代碼。以下版本受到影響：Firefox 30.0及之前版本，F(xiàn)irefox ESR 24.7之前的24.x版本和Thunderbird 24.6及之前版本。 ·CVE-2014-1545 描述：Netscape Portable Runtime（NSPR）是一個跨平臺庫，它提供了類型定義、線程同步、時間處理等的API和類似于libc的函數(shù)，被用在服務應用程序中。NSPR 4.10.5及之前的版本中的‘sprintf’和‘console’函數(shù)存在安全漏洞。遠程攻擊者可利用該漏洞執(zhí)行任意代碼或造成拒絕服務（越邊界寫入）。 ·CVE-2014-1568 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。多款Mozilla產(chǎn)品和基于Windows或OS X平臺的Google Chrome和Google Chrome OS上使用的Mozilla NSS中存在安全漏洞，該漏洞源于程序沒有正確解析X.509證書中的ASN.1值。遠程者可通過特制的證書利用該漏洞偽造RSA簽名。以下版本受到影響：Mozilla Firefox 32.0.3之前版本，Mozilla Firefox ESR 24.8.1之前24.x版本和31.1.1之前31.x版本，Mozilla Thunderbird 24.8.1之前版本和31.1.2之前31.x版本，Mozilla SeaMonkey 2.29.1之前版本，Google Chrome 37.0.2062.124之前版本，Google Chrome OS 37.0.2062.120之前版本，NSS 3.16.2.1之前版本，3.16.5之前3.16.x版本，3.17.1之前3.17.x版本。 ·CVE-2014-1569 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.16.2.4之前版本和3.17.3之前3.17.x版本的lib/util/quickder.c文件中的‘definite_length_decoder’函數(shù)存在安全漏洞，該漏洞源于程序沒有正確處理ASN.1長度的DER編碼。遠程攻擊者可借助編碼中的超長字節(jié)序列利用該漏洞實施data-smuggling攻擊。 ·CVE-2015-2721 描述：Mozilla Firefox、Firefox ESR和Thunderbird都是由美國Mozilla基金會開發(fā)。Firefox是一款開源Web瀏覽器；Firefox ESR是Firefox的一個延長支持版本；Thunderbird是從Mozilla Application Suite中獨立出來的一套電子郵件客戶端軟件。Mozilla Network Security Services（NSS）是一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。多款Mozilla產(chǎn)品中使用的Mozilla NSS中存在安全漏洞，該漏洞源于程序沒有正確確定TLS狀態(tài)機的狀態(tài)轉(zhuǎn)換。攻擊者可利用該漏洞實施中間人攻擊，破壞加密保護機制。以下產(chǎn)品及版本受到影響：Mozilla Firefox 39.0之前版本，F(xiàn)irefox ESR 31.8之前31.x版本和38.1之前38.x版本，Thunderbird 38.1之前版本，Mozilla NSS 3.19之前版本。 ·CVE-2015-4000 描述：TLS是IETF標準組織的一個傳輸層安全性協(xié)議，目的是為互聯(lián)網(wǎng)通信提供安全及數(shù)據(jù)完整性保障。TLS協(xié)議1.2及之前版本中存在加密問題漏洞，該漏洞源于當服務器啟用DHE_EXPORT密碼套件時，程序沒有正確傳遞DHE_EXPORT選項。攻擊者可通過重寫ClientHello（使用DHE_EXPORT取代DHE），然后重寫ServerHello（使用DHE取代DHE_EXPORT），利用該漏洞實施中間人攻擊和cipher-downgrade攻擊。 ·CVE-2015-7181 描述：Mozilla Firefox和Firefox ESR都是由美國Mozilla基金會開發(fā)。Firefox是一款開源Web瀏覽器；Firefox ESR是Firefox的一個延長支持版本。Mozilla Network Security Services（NSS）是一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla Firefox和Firefox ESR中使用的Mozilla NSS中的‘sec_asn1d_parse_leaf’函數(shù)存在安全漏洞，該漏洞源于程序沒有正確限制訪問數(shù)據(jù)結(jié)構(gòu)體。遠程攻擊者可借助特制的OCTET STRING數(shù)據(jù)利用該漏洞造成拒絕服務（應用程序崩潰），或執(zhí)行任意代碼。以下產(chǎn)品及版本受到影響：Mozilla Firefox 42.0.2及之前版本，F(xiàn)irefox ESR 38.4之前38.x版本，Mozilla NSS 3.19.2.0及之前版本，3.20.0版本。 ·CVE-2015-7182 描述：Mozilla Firefox和Firefox ESR都是由美國Mozilla基金會開發(fā)。Firefox是一款開源Web瀏覽器；Firefox ESR是Firefox的一個延長支持版本。Mozilla Network Security Services（NSS）是一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Firefox和Firefox ESR中使用的Mozilla NSS中的ASN.1解碼器中存在基于堆的緩沖區(qū)溢出漏洞。遠程攻擊者可借助特制的OCTET STRING數(shù)據(jù)利用該漏洞造成拒絕服務（應用程序崩潰），或執(zhí)行任意代碼。以下產(chǎn)品及版本受到影響：Mozilla Firefox 42.0.2及之前版本，F(xiàn)irefox ESR 38.4之前38.x版本，Mozilla NSS 3.19.2.0及之前版本，3.20.0版本。 ·CVE-2015-7183 描述：Mozilla Firefox和Firefox ESR都是由美國Mozilla基金會開發(fā)。Firefox是一款開源Web瀏覽器；Firefox ESR是Firefox的一個延長支持版本。Mozilla Network Security Services（NSS）是一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla Firefox和Firefox ESR中使用的Mozilla NSS中的Netscape Portable Runtime(NSPR)中的PL_ARENA_ALLOCATE實現(xiàn)過程存在整數(shù)溢出漏洞。遠程攻擊者可利用該漏洞造成拒絕服務（內(nèi)存損壞和應用程序崩潰），或執(zhí)行任意代碼。以下產(chǎn)品及版本受到影響：Mozilla Firefox 42.0.2及之前版本，F(xiàn)irefox ESR 38.4之前38.x版本，Mozilla NSS 3.19.2.0及之前版本，3.20.0版本。 ·CVE-2016-1950 描述：Mozilla Firefox和Firefox ESR都是由美國Mozilla基金會開發(fā)。Firefox是一款開源Web瀏覽器；Firefox ESR是Firefox的一個延長支持版本。Mozilla Network Security Services（NSS）是一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla Firefox和Firefox ESR中使用的Mozilla NSS中存在基于堆的緩沖區(qū)溢出漏洞。遠程攻擊者可借助X.509證書中特制的ASN.1數(shù)據(jù)利用該漏洞執(zhí)行任意代碼。以下產(chǎn)品及版本受到影響：Mozilla Firefox 45.0之前版本，F(xiàn)irefox ESR 38.7之前38.x版本，Mozilla NSS 3.19.2.3之前版本，3.20.x版本，3.21.1之前3.21.x版本。 ·CVE-2016-1978 描述：Mozilla Firefox是美國Mozilla基金會開發(fā)的一款開源Web瀏覽器。Mozilla Network Security Services（NSS）是一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla Firefox 44.0之前版本中使用的Mozilla NSS 3.21之前版本的‘ssl3_HandleECDHServerKeyExchange’函數(shù)中存在釋放后重用漏洞，該漏洞源于程序在DHE和ECDHE握手期間沒有成功分配內(nèi)存。遠程攻擊者可利用該漏洞造成拒絕服務。 ·CVE-2016-1979 描述：Mozilla Firefox是美國Mozilla基金會開發(fā)的一款開源Web瀏覽器。Mozilla Network Security Services（NSS）是一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla Firefox 45.0之前版本中使用的Mozilla NSS 3.21.1之前版本的‘PK11_ImportDERPrivateKeyInfoAndReturnKey’函數(shù)中存在釋放后重用漏洞。遠程攻擊者可借助帶有DER編碼的密鑰數(shù)據(jù)利用該漏洞造成拒絕服務。 ·CVE-2016-2834 描述：Mozilla Firefox是美國Mozilla基金會開發(fā)的一款開源Web瀏覽器。Network Security Services（NSS）是一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla Firefox 47之前版本中使用的NSS 3.23之前版本中存在安全漏洞。遠程攻擊者可利用該漏洞造成拒絕服務（內(nèi)存損壞和應用程序崩潰）。 ·CVE-2016-5285 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會的一個函數(shù)庫（網(wǎng)絡安全服務庫）。該產(chǎn)品可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.26之前版本中存在代碼問題漏洞。該漏洞源于K11_SignWithSymKey / ssl3_ComputeRecordMACConstantTime缺少空值檢查。攻擊者可利用該漏洞造成拒絕服務（服務器崩潰）。 ·CVE-2016-8635 描述：Mozilla Network Security Services（NSS）是美國Mozilla基金會開發(fā)的一個函數(shù)庫（網(wǎng)絡安全服務庫），它可跨平臺提供SSL、S/MIME和其他Internet安全標準支持。Mozilla NSS 3.21.x版本中對Diffie Hellman Client密鑰更改的處理存在信息泄露漏洞。攻擊者可利用該漏洞恢復私鑰。 2.受影響的軟件包 ·中標麒麟高級服務器操作系統(tǒng) V6 ·x86_64架構(gòu): nss-util、nss-util-devel 3.軟件包修復版本 ·中標麒麟高級服務器操作系統(tǒng) V6 (x86_64) nss-util-3.27.1-3.el6或以上版本 nss-util-devel-3.27.1-3.el6或以上版本 4.修復方法 方法一：配置源進行升級安裝 1.打開軟件包源配置文件，根據(jù)倉庫地址進行修改。 倉庫源地址： 中標麒麟高級服務器操作系統(tǒng) V6 x86_64:https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/ 2.配置完成后執(zhí)行更新命令進行升級，命令如下： yum update Packagename 方法二：下載安裝包進行升級安裝 通過軟件包地址下載軟件包，使用軟件包升級命令根據(jù)受影響的軟件包 列表進行升級安裝, 命令如下： yum install Packagename 3.升級完成后是否需要重啟服務或操作系統(tǒng)： CVE-2012-0441:需要重啟 nss-util 以使漏洞修復生效。 CVE-2013-0743:需要重啟 nss-util 以使漏洞修復生效。 CVE-2013-0791:需要重啟 nss-util 以使漏洞修復生效。 CVE-2013-1620:需要重啟 nss-util 以使漏洞修復生效。 CVE-2013-1739:需要重啟 nss-util 以使漏洞修復生效。 CVE-2013-1740:需要重啟 nss-util 以使漏洞修復生效。 CVE-2013-1741:需要重啟 nss-util 以使漏洞修復生效。 CVE-2013-5605:需要重啟 nss-util 以使漏洞修復生效。 CVE-2013-5606:需要重啟 nss-util 以使漏洞修復生效。 CVE-2013-5607:需要重啟 nss-util 以使漏洞修復生效。 CVE-2014-1490:需要重啟 nss-util 以使漏洞修復生效。 CVE-2014-1491:需要重啟 nss-util 以使漏洞修復生效。 CVE-2014-1492:需要重啟 nss-util 以使漏洞修復生效。 CVE-2014-1544:需要重啟 nss-util 以使漏洞修復生效。 CVE-2014-1545:需要重啟 nss-util 以使漏洞修復生效。 CVE-2014-1568:需要重啟 nss-util 以使漏洞修復生效。 CVE-2014-1569:需要重啟 nss-util 以使漏洞修復生效。 CVE-2015-2721:需要重啟 nss-util 以使漏洞修復生效。 CVE-2015-4000:無需重啟操作系統(tǒng)與服務即可使漏洞修復生效。 CVE-2015-7181:需要重啟 nss-util 以使漏洞修復生效。 CVE-2015-7182:需要重啟 nss-util 以使漏洞修復生效。 CVE-2015-7183:需要重啟 nss-util 以使漏洞修復生效。 CVE-2016-1950:需要重啟 nss-util 以使漏洞修復生效。 CVE-2016-1978:需要重啟 nss-util 以使漏洞修復生效。 CVE-2016-1979:需要重啟 nss-util 以使漏洞修復生效。 CVE-2016-2834:需要重啟 nss-util 以使漏洞修復生效。 CVE-2016-5285:需要重啟 nss-util 以使漏洞修復生效。 CVE-2016-8635:需要重啟 nss-util 以使漏洞修復生效。 5.軟件包下載地址 ·中標麒麟高級服務器操作系統(tǒng) V6 nss-util(x86_64)軟件包下載地址: https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/Packages/nss-util-3.27.1-3.el6.i686.rpm https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/Packages/nss-util-3.27.1-3.el6.x86_64.rpm https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/Packages/nss-util-devel-3.27.1-3.el6.i686.rpm https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/Packages/nss-util-devel-3.27.1-3.el6.x86_64.rpm 注：其他相關依賴包請到相同目錄下載 6.修復驗證 使用軟件包查詢命令，查看相關軟件包版本是否與修復版本一致，如果版本一致，則說明修復成功。 sudo rpm -qa | grep Packagename