Red Hat セキュリティアドバイザリ 2013:0656 から：

2 件のセキュリティ問題を修正する更新済みの krb5 パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Kerberos はネットワーク認証システムであり、クライアントおよびサーバーが、対称キー暗号化および信頼できる第三者機関である Key Distribution Center（KDC）を使用して、お互いを認証することが可能です。

クライアントが KDC から認証情報を取得するために PKINIT を使用しようとするとき、クライアントは発行者またはシリアル番号を KDC へのヒントとして使用して、多数ある可能性のある KDC の証明書のうち、どれがクライアントが所有しているものであるかを特定できます。応答に署名するには対応する鍵を使用する必要があります。その仕様が形式の正しくないものである場合、KDC が NULL ポインターの逆参照を試行し、クラッシュする可能性があります。(CVE-2013-1415)

クライアントが PKINIT を使用して、認証情報を KDC から取得しようとすると、クライアントは通常 RFC 4556 で発行されている仕様を満たすためのリクエストをフォーマットします。相互運用性のため、クライアントとサーバーはその仕様の古いドラフトバージョンのサポートも提供します。非デフォルトキー契約オプションで仕様の古いバージョンに準拠するために、クライアントがリクエストをフォーマットした場合、 KDC が NULL ポインターを逆参照し、クラッシュする可能性があります。(CVE-2012-1016)

krb5 の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージにアップグレードし、これらの問題を修正する必要があります。更新済みパッケージのインストール後、krb5kdc デーモンが自動的に再起動されます。

検出

Oracle Linux 6：krb5（ELSA-2013-0656）

high Nessus プラグイン ID 68792

変更ログが見つかりません