1 つのセキュリティの問題とさまざまなバグを修正する更新済みの pam_krb5 パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

pam_krb5 モジュールによって、Pluggable Authentication Modules（PAM）対応アプリケーションは、Kerberos を利用してログイン時にユーザーの認証情報を取得することで、ユーザーの本人確認を行うことができます。

pam_krb5 に欠陥が見つかりました。デフォルトでない特定の構成（特に、pam_krb5 がパスワードを促す最初のモジュールとなる構成）において、提示されたユーザー名がシステムにとって既知かどうかによって、パスワードプロンプトのテキストが変わりました。リモートの攻撃者がこの欠陥を利用して有効なユーザー名を認識し、ディクショナリベースのパスワード推測攻撃を実行できる可能性があります。
（CVE-2009-1384）

この更新は以下のバグも修正します：

* PAM 対話を適切に実装しない特定のアプリケーションが、パスワードが失効していて変更する必要があるユーザーの認証に失敗したり、ユーザーのパスワード変更を強制することなく成功したりする可能性があります。このバグは、PAM の仕様に対する互換性を向上させるために前に適用された pam_krb5 への修正によって引き起こされています。アプリケーションが誤作動を起こした場合、そのサービスに対する「chpw_prompt」オプションを有効にすることで過去の動作が復元するはずです。
（BZ#509092）

* Key Distribution Center（KDC）が、転送可能なパスワード変更認証情報の取得試行を拒否するよう構成されている場合、pam_krb5 は、ユーザーが失効済みパスワードを変更することを許可しません。この更新により、前述の問題が修正されます。（BZ#489015）

* 誤ったキータブ処理による TGT 検証の失敗。（BZ#450776）

pam_krb5 のユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を解決することが推奨されます。

検出

RHEL 5：pam_krb5（RHSA-2010:0258）

medium Nessus プラグイン ID 46287

変更ログが見つかりません