CentOS Linux 8 [TuxCare] セキュリティ更新:krb5-devel/krb5-libs/krb5-pkinit/krb5-server/etc 複数の脆弱性(CENTOS-STREAM8:CLSA-2026:1779461988)

critical Nessus プラグイン ID 360031

Language:

概要

CentOS Linuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

CentOS Linux 8ホストには、TuxCare CENTOS-STREAM8:CLSA-2026:1779461988アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- RFC 2865 の RADIUS プロトコルは、他の応答に対して有効な応答 (Access-Accept、Access-Reject、または Access-Challenge) を変更できるローカルの攻撃者により、MD5 応答認証の署名に対して選択されたプレフィックスの衝突攻撃を使用する偽造攻撃の影響を受けやすくなっています。(CVE-2024-3596)

- 1.21.3 より前の MIT Kerberos 5(別名 krb5)では、攻撃者が機密 GSS krb5 ラップトークンの平文の Extra Count フィールドを変更し、ラップされていないトークンをアプリケーションに対して切り捨てて見せることができます。
(CVE-2024-37370)

- 1.21.3 以前の MIT Kerberos 5(別名 krb5)では、攻撃者が、無効な長さフィールドを持つメッセージトークンを送信することで、GSS メッセージトークンの処理中に無効なメモリ読み取りを引き起こす可能性があります。(CVE-2024-37371)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。