いくつかのセキュリティ問題を修正する、更新済みの krb5 パッケージが現在 Red Hat Enterprise Linux 5 で利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

Kerberos は、クライアントおよびサーバーが対称キー暗号化および信頼されているサードパーティの Key Distribution Center（KDC）を使用して、それぞれに対して認証を行うことができるようになるネットワーク認証システムです。Generic Security Service Application Program Interface（GSS-API）の定義は、汎用関数で呼び出し元（プロトコル）にセキュリティサービスを提供します。Simple and Protected GSS-API Negotiation（SPNEGO）メカニズムは、一連の共通セキュリティメカニズムから選択するために GSS-API ピアによって使用されます。

MIT Kerberos によって使用される ASN.1（抽象構文記法 1）デコーダーで入力検証の欠陥が見つかりました。リモートの攻撃者はこの欠陥を利用して、kadmind または krb5kdc のような MIT Kerberos ライブラリを使用してネットワークサービスをクラッシュされることができます。これにより、初期化されていないポインターのデリファレンスまたはフリーを行います。（CVE-2009-0846）

SPNEGO メカニズムの MIT Kerberos GSS-API ライブラリの実装で複数の入力検証の欠陥が見つかりました。リモートの攻撃者はこの欠陥を利用し、MIT Kerberos GSS-API ライブラリを使用してネットワークサービスをクラッシュさせ、ユーザーを認証することができます。またサービスのメモリの一部を漏洩させる可能性もあります。（CVE-2009-0844、CVE-2009-0845）

krb5 の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージにアップグレードし、これらの問題を修正する必要があります。MIT Kerberos ライブラリを使用している全ての実行中のサービスを再起動して更新を有効にする必要があります。

検出

CentOS 5：krb5（CESA-2009:0408）

critical Nessus プラグイン ID 43739

変更ログが見つかりません