Risque

  • Exécution de code arbitraire

Systèmes affectés

MIT Kerberos 5 versions krb5-1.3.3 et antérieures.

Résumé

Plusieurs vulnérabilités de la fonction krb5_aname_to_localname() permettent à un utilisateur mal intentionné d'exécuter du code arbitraire à distance.

Description

Kerberos est un protocole d'authentification. La fonction krb5_aname_to_localname() de Kerberos permet de traduire un nom principal Kerberos en un nom de compte local (par exemple un utilisateur UNIX).
Plusieurs vulnérabilités de type débordement de mémoire permettent à un utilisateur distant mal intentionné d'exécuter du code arbitraire sur la machine vulnérable.
Seules les configurations qui utilisent des méthodes faisant appel à cette fonction sont vulnérables. Ce ne sont pas les configurations par défaut.

Solution

La version krb5-1.3.4 corrige ces vulnérabilités.
Il existe un correctif disponible sur le site de Kerberos (cf. section Documentation).
Consulter votre éditeur pour obtenir un éventuel correctif.

Documentation