krb5の更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Kerberosはネットワーク認証システムであり、暗号化されていない形式でネットワーク越しにパスワードを送信する安全でない手法を排除することで、使用中のネットワークのセキュリティを向上させることができます。クライアントおよびサーバーが、信頼できる第三者機関であるKDC（Kerberos Key Distribution Center）を使用して互いに認証を行うことが可能になります。セキュリティ修正プログラム：*krb5：証明書EKUおよびSANの不適切な検証による認証バイパス（CVE-2017-7562）*krb5：アサーションエラーが発生する無効なS4U2SelfまたはS4U2Proxyリクエスト（CVE-2017-11368）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.5リリースノートを参照してください。

CVE-2017-11368を修正します（krb5kdcのリモートトリガー可能なアサーション失敗）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

MIT Kerberos 5（別名krb5）1.7以降では、認証された攻撃者が、無効なS4U2SelfまたはS4U2Proxyリクエストを送信することで、KDCアサーションエラーを引き起こす可能性があります。

Debian 7「Wheezy」では、これらの問題は、バージョン1.10.1+dfsg-5+deb7u8で修正されました。

お使いのkrb5パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

MITによる報告: 

CVE-2017-11368 :

MIT krb5 1.7以降では、認証された攻撃者が、無効なS4U2SelfまたはS4U2Proxyリクエストを送信することによって、krb5kdcでアサーションエラーを引き起こすことができます。

CVE-2017-11462 :

RFC 2744では、gss_init_sec_context()またはgss_accept_sec_context()に対する2回目以降の呼び出しでエラーが発生した場合に、GSS-API実装が既存のセキュリティコンテキストを削除できます。このAPIの動作は、一部の呼び出し元でメモリエラーが発生する可能性があることから、危険であることが判明しています。安全のために、GSS-API実装では、エラー発生時に、呼び出し元が削除するまで、既存のセキュリティコンテキストを保存する必要があります。

この変更より前のMIT krb5のすべてのバージョンで、エラー発生時にアクセプターコンテキストが削除されることがあります。バージョンの1.13.4～1.13.7、1.14.1～1.14.5、および1.15～1.15.1では、エラー発生時にイニシエーターコンテキストも削除されることがあります。

セキュリティ修正プログラム:

  - krb5: 証明書EKUおよびSANの不適切な検証による認証バイパス（CVE-2017-7562）

  - krb5: 無効なS4U2SelfまたはS4U2Proxyリクエストにより、アサーション失敗が発生します（CVE-2017-11368）

追加の変更:

MIT Kerberos krb5kdcサービスにサービス拒否の欠陥が見つかりました。認証された攻撃者が、この欠陥を使用して、無効な S4U2Self や S4U2Proxy リクエストを作成することにより、アサーションを失敗させて krb5kdc を終了させる可能性があります。 (CVE-2017-11368)

krb5のcertauthインターフェイスがクライアント証明書の検証を処理する方法に、認証バイパスの欠陥が見つかりました。KDCと通信できるリモートの攻撃者がこの欠陥を悪用して、まれであり、かつ誤った状況で任意のプリンシパルを偽装する可能性があります。 (CVE-2017-7562)

証明書EKUおよびSANの不適切な検証による認証バイパス

krb5のcertauthインターフェイスがクライアント証明書の検証を処理する方法に、認証バイパスの欠陥が見つかりました。KDCと通信できるリモートの攻撃者がこの欠陥を悪用して、まれであり、かつ誤った状況で任意のプリンシパルを偽装する可能性があります。（CVE-2017-7562）

無効なS4U2SelfまたはS4U2Proxyリクエストにより、アサーション失敗が発生

MIT Kerberos krb5kdcサービスにサービス拒否の欠陥が見つかりました。認証された攻撃者が、この欠陥を使用して、無効なS4U2SelfやS4U2Proxyリクエストを作成することにより、アサーションを失敗させてkrb5kdcを終了させる可能性があります。（CVE-2017-11368）

出典: Red Hatセキュリティアドバイザリ2018:0666:krb5の更新がRed Hat Enterprise Linux 7用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Kerberosはネットワーク認証システムであり、暗号化されていない形式でネットワーク越しにパスワードを送信する安全でない手法を排除することで、使用中のネットワークのセキュリティを向上させることができます。クライアントおよびサーバーが、信頼できる第三者機関であるKDC（Kerberos Key Distribution Center）を使用して互いに認証を行うことが可能になります。セキュリティ修正プログラム：*krb5：証明書EKUおよびSANの不適切な検証による認証バイパス（CVE-2017-7562）*krb5：アサーションエラーが発生する無効なS4U2SelfまたはS4U2Proxyリクエスト（CVE-2017-11368）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.5リリースノートを参照してください。

CVE-2017-11368を 修正します（krb5kdcのリモートトリガー可能なアサーション失敗）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
108983	RHEL 7：krb5（RHSA-2018：0666）	Nessus	Red Hat Local Security Checks	2018/4/11	2024/4/27	medium
101965	Fedora 26：krb5（2017-e5b36383f4）	Nessus	Fedora Local Security Checks	2017/7/26	2021/1/6	medium
101997	Fedora 24：krb5（2017-71c47e1e82）	Nessus	Fedora Local Security Checks	2017/7/27	2021/1/6	medium
102482	Debian DLA-1058-1: krb5セキュリティ更新	Nessus	Debian Local Security Checks	2017/8/15	2021/1/11	medium
103953	FreeBSD: krb5 -- 複数の脆弱性（3f3837cc-48fb-4414-aa46-5b1c23c9feae）	Nessus	FreeBSD Local Security Checks	2017/10/19	2021/1/4	critical
109450	Scientific Linux セキュリティ更新: SL7.x x86_64のkrb5（20180410）	Nessus	Scientific Linux Local Security Checks	2018/5/1	2020/2/24	medium
117342	Amazon Linux AMI：krb5 (ALAS-2018-1010)	Nessus	Amazon Linux Local Security Checks	2018/9/7	2024/8/9	medium
109689	Amazon Linux 2：krb5 (ALAS-2018-1010)	Nessus	Amazon Linux Local Security Checks	2018/5/11	2018/5/11	medium
109104	Oracle Linux 7：krb5（ELSA-2018-0666）	Nessus	Oracle Linux Local Security Checks	2018/4/18	2019/9/27	medium
109370	CentOS 7：krb5（CESA-2018:0666）	Nessus	CentOS Local Security Checks	2018/4/27	2019/12/31	medium
102002	Fedora 25：krb5（2017-8e9d9771c4）	Nessus	Fedora Local Security Checks	2017/7/27	2021/1/6	medium

検出

プラグインの検索

medium

medium

medium

medium

critical

medium

medium

medium

medium

medium

medium