S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 15 juin 2000
N° CERTA-2000-AVI-007
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilités sur le serveur FTP utilisant Kerberos 5

Gestion du document

Référence CERTA-2000-AVI-007
Titre Vulnérabilités sur le serveur FTP utilisant Kerberos 5
Date de la première version15 juin 2000
Date de la dernière version15 juin 2000
Source(s) CERT IST
Masachuset's Institute of Technology (MIT)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Accès root
  • Déni de service
  • Exécution de commandes non-autorisées

Systèmes affectés

Kerberos 5 realeases krb5-1.1 et krb.5-1.1.1, ainsi que les version beta krb5-1.1.2-beta1 krb5-1.2-beta2

Description

GSSFTP est un serveur FTP sécurisé utilisant la suite Kerberos 5 du MIT. Deux vulnérabilités y ont été découvertes :

  • Un utilisateur ayant un accès local au serveur FTP peut obtenir les privilèges de root lui permettant d'éxecuter des commandes qui ne lui sont pas autorisées.
  • Un utilisateur distant peut effectuer un déni de service.

Windows 2000 repose sur les mécanismes d'authentification offerts par le protocole Kerberos 5. À ce titre, un client ftp sous Windows peut s'authentifier auprès d'un serveur GSSFTP compromis donnant ainsi un faux sentiment de sécurité.

Solutions

  1. Appliquer le correctif concernant la vulnérabilité de GSSFTP pour les releases krb5-1.1 et krb.5-1.1.1 de kerberos 5 se trouvant à l'adresse suivante :

    http://web.mit.edu/kerberos/www/advisories/ftpd_111_patch.txt

  2. Mettre à jour la version 1.2 de Kerberos 5 (voir l'adresse qui suit) :

    http://web.mit.edu/kerberos/www

Gestion détaillée du document

    le 15 juin 2000
    version initiale.