S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 22 décembre 2004
N° CERTA-2004-AVI-411
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité de MIT Kerberos 5

Gestion du document

Référence CERTA-2004-AVI-411
Titre Vulnérabilité de MIT Kerberos 5
Date de la première version22 décembre 2004
Date de la dernière version17 février 2005
Source(s) Bulletin de sécurité MIT krb5 2004-004
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire

Systèmes affectés

MIT Kerberos 5 version krb5-1.3.5 et antérieures.

Description

Kerberos est un protocole d'authentification.

Une vulnérabilité de type débordement de mémoire est présente dans une routine de gestion de l'historique des mots-de-passe incluse dans la bibliothèque libkadm5srv.

Un utilisateur mal intentionné peut, après s'être préalablement authentifié, exploiter cette vulnérabilité pour exécuter du code arbitraire sur le serveur de clefs (KDC) vulnérable.

Solution

Se référer au bulletin de sécurité de l'éditeur (cf. section Documentation) pour l'obtention des correctifs.

Documentation

Gestion détaillée du document

    le 22 décembre 2004
    version initiale.
    le 23 décembre 2004
    ajout référence au bulletin de sécurité Mandrake MDKSA-2004:156.
    le 06 janvier 2005
    ajout référence au bulletin de sécurité Gentoo GLSA 200501-05.
    le 24 janvier 2005
    ajout référence au bulletin de sécurité RedHat RHSA-2005-012.
    le 17 février 2005
    ajout référence au bulletin de sécurité RedHat RedHat RHSA-2005-045.