Komoly Kerberos(5) hibák

Titkosítás, biztonság, privát szféra

Az Eweek szerint a Massachusetts Institute of Technology (MIT) kutatói komoly hibákat találtak a Kerberos Key Distribution Center-ben (KDC).

A javítások még váratnak magukra, de a Cisco egyes Kerberost használó VPN routereihez már napvilágot láttak a javítások.Az hibákat komolynak jelzik a szakemberek. Az egyik ilyen hiba a ``double free''-nek nevezett bug, amelyben a tisztítást végző kód kétszer próbálja meg ugyanazt a puffert kiüríteni. Mikor ez történik, a rosszindulatú felhasználónak lehetősége van a Kerberost támadni (tetszőleges kódfuttatás). A másik hiba az ASN.1 bug, amelyet kihasználva a modul ``fennakad'' és ez a Kerberos leállásához vezethet.

MIT hibajegyek:

MITKRB5-SA-2004-002-dblfree.txt

MITKRB5-SA-2004-003-asn1.txt

A cikk itt.

( Zahy v | 2004. 09. 02., cs – 16:43 )

Én ugyan elhiszem, hogy "a javítások még váratnak magukra", ezzel szemben a FreeBSD portsban:

01 Sep 2004 15:01:20

Fix MITKRB5-SA-2004-003: ASN.1 decoder denial-of-service.

01 Sep 2004 19:55:26

Fix MIT krb5 Security Advisory 2004-002: double-free vulnerabilities in KDC and libraries

Legalábbis a www.freshports.org szerint.