質問をすることでしか得られない、回答やアドバイスがある。

15分調べてもわからないことは、質問しよう!

新規登録して質問してみよう
ただいま回答率
85.50%
CentOS

CentOSは、主にRed Hat Enterprise Linux(RHEL)をベースにした、フリーのソフトウェアオペレーティングシステムです。

セキュリティー

このタグは、コンピューターシステムの安全性やデータの機密性に関連したトピックの為に使われます。

サービス

サービスとはバックグラウンド上に常駐し、長時間稼動し続ける実行可能ファイルを指します。

Q&A

解決済

2回答

8238閲覧

【脆弱性】【CentOS6】【NSS】Network Security Services (NSS) の使用有無確認方法について

dakahii

総合スコア24

CentOS

CentOSは、主にRed Hat Enterprise Linux(RHEL)をベースにした、フリーのソフトウェアオペレーティングシステムです。

セキュリティー

このタグは、コンピューターシステムの安全性やデータの機密性に関連したトピックの為に使われます。

サービス

サービスとはバックグラウンド上に常駐し、長時間稼動し続ける実行可能ファイルを指します。

0グッド

0クリップ

投稿2015/12/09 15:04

編集2015/12/09 15:08

JVN にてNSSに関する下記の脆弱性が公開されいますが、当方システムに該当しているか確認できません。

■JVNDB-2015-005747
Mozilla Firefox などの製品で使用される Network Security Services の Netscape Portable Runtime における整数オーバーフローの脆弱性

http://jvndb.jvn.jp/ja/contents/2015/JVNDB-2015-005747.html

■JVNDB-2015-005746
Mozilla Firefox などの製品で使用される Network Security Services におけるヒープベースのバッファオーバーフローの脆弱性

http://jvndb.jvn.jp/ja/contents/2015/JVNDB-2015-005746.html

■JVNDB-2015-005745
Mozilla Firefox などの製品で使用される Network Security Services におけるサービス運用妨害 (DoS) の脆弱性

http://jvndb.jvn.jp/ja/contents/2015/JVNDB-2015-005745.html

確認した限りだとNSSはかなり広範囲のソフトウェアに使用されているライブラリということですが、
当方にて使用している下記の構成で利用されているか、また脆弱性の対策を実施する必要があるか
確認する方法はあるでしょうか。

【環境】

■OS:CentOS 6

■用途:Webサーバ(WordPressで作成したホームページを外部に公開)

■ソフトウェア:Apache2.2 + MySQL

【参考】

■「NSS(CVE-2015-7181・CVE-2015-7182・CVE-2015-7183)」の脆弱性について

http://www.at-link.ad.jp/topics/news/news-20151105.html

■Mozilla Foundation セキュリティアドバイザリ 2015-133

http://www.mozilla-japan.org/security/announce/2015/mfsa2015-133.html

以上、よろしくお願いします。

気になる質問をクリップする

クリップした質問は、後からいつでもMYページで確認できます。

またクリップした質問に回答があった際、通知やメールを受け取ることができます。

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

guest

回答2

0

ベストアンサー

RHEL の情報ですが、
RHSA-2015:1981 で修正パッケージがリリースされています。
rpm -q nspr nss nss-utils で以下のバージョン、リリース番号より大きければ修正されています。

  • nspr-4.10.8-2.el6_7
  • nss-3.19.1-5.el6_7
  • nss-util-3.19.1-2.el6_7

Apache httpd では SSL通信に mod_ssl, mod_nss のどちらかが利用できます。
mod_nss であればこの脆弱性の影響を受けますが、mod_ssl であれば影響はありません。

投稿2015/12/09 15:44

TaichiYanagiya

総合スコア12141

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

dakahii

2015/12/09 16:57

TaichiYanagiya さん またまたご教示ありがとうございます。 成程、モジュールから確認可能なんですね。 恐らくmod_sslなのですが、 明日にでも実機で確認してみようと思います。
dakahii

2015/12/10 05:39

TaichiYanagiya さん お世話になります。 本問い合わせに関してapachectl -Mコマンドで確認してみたところ、 下記SSLモジュールの出力が確認できました。  ssl_module (shared) 出力内容について確認してみると、DSOモジュールにて読み込まれている ようですが、この出力内容でmod_nssなのかmod_sslか判別できますでしょうか。 また、confファイル次第ではmod_sslとmod_nssを併用することも可能らしいですが、 併用している場合はどちらの通信が利用されているか確認できるのでしょうか。
TaichiYanagiya

2015/12/10 05:54

ssl_module = mod_ssl です。 /etc/httpd/conf.d/ssl.conf で "LoadModule ssl_module modules/mod_ssl.so" となっていると思います。 mod_ssl, mod_nss の併用はやったことがありませんが、VirtualHost で、IPアドレスやポート番号で分けるか、ServerName (SNI) で分けるのではないでしょうか。
dakahii

2015/12/11 04:22

TaichiYanagiya さん ご回答ありがとうございます。 設定ファイルも確認した所、仰る通りmod_ssl.soが読み込まれていました。 問題が解決したので本件はクローズとさせていただきます。
guest

0

質問文にある以下のリンクに確認方法が記述してありました。

【参考】 ■「NSS(CVE-2015-7181・CVE-2015-7182・CVE-2015-7183)」の脆弱性について http://www.at-link.ad.jp/topics/news/news-20151105.html

投稿2015/12/09 15:14

tako-black

総合スコア78

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

dakahii

2015/12/09 17:01

tako-black さん ご回答ありがとうございました。 パッケージは脆弱性の対象となるバージョンを利用しておりました。 NSSはパッケージとしてインストールされていますが、実際に稼働している サーバで利用されているか確認する方法をご教示いただきたく今回質問させて いただきました。 他のご回答者様にて利用モジュールを確認する方法をご教示いただきましたので、 恐らく問題は解決するかと思われます。 ありがとうございました。
guest

あなたの回答

tips

太字

斜体

打ち消し線

見出し

引用テキストの挿入

コードの挿入

リンクの挿入

リストの挿入

番号リストの挿入

表の挿入

水平線の挿入

プレビュー

15分調べてもわからないことは
teratailで質問しよう!

ただいまの回答率
85.50%

質問をまとめることで
思考を整理して素早く解決

テンプレート機能で
簡単に質問をまとめる

質問する

関連した質問