Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

MIT Kerberos 5

Betroffene Plattformen:

Red Hat Enterprise Linux Desktop 5 Client
Red Hat Enterprise Linux Desktop 5 Workstation/Client
Red Hat Enterprise Linux Server 5

Durch mehrere Schwachstellen im MIT Kerberos 5 kann ein entfernter, zumeist
nicht authentisierter Angreifer einen Denial-of-Service-Zustand bewirken.

Patch:

Red Hat Security Advisory RHSA-2014:1245

http://rhn.redhat.com/errata/RHSA-2014-1245.html

CVE-2013-6800: Schwachstelle in Kerberos ermöglicht Denial-of-Service

Es existiert eine Schwachstelle in einem Drittanbieter Datenbank-Modul vom
Key Distribution Center (KDC) im MIT Kerberos 5. Ein entfernter,
authentifizierter Angreifer kann, durch präparierte Anfragen,
Denial-of-Service-Angriffe durchführen.

CVE-2014-4344: Schwachstelle in Kerberos ermöglicht Denial-of-Service

Es existiert eine Schwachstelle im SPNEGO-Protokoll von MIT-Kerberos. Ein
entfernter, nicht authentisierter Angreifer kann den Server mit einer
Null-Pointer-Dereferenzierung zum Absturz bringen, indem im Verlauf einer
Authentisierung ein leeres Token an den Server sendet.

CVE-2014-4341: Schwachstelle in Kerberos ermöglicht Denial-of-Service

Der Umgang mit RFC 1964 Tokens im MIT Kerberos 5 ist fehlerhaft. Ein im
benachbarten Netzwerk befindlicher, nicht authentifizierter Angreifer kann
per Man-in-the-Middle-Angriff (MITM) Pakete in eine GSS-API-Sitzung einer
Anwendung injizieren und die Anwendung zum Absturz bringen.

CVE-2013-1418: Crash des KDCs durch Zugriff auf einen NULL-Zeiger

In der Funktion setup_server_realm() im Key Distribution Center (KDC) in MIT
Kerberos 5 kann unter Umständen ein Null-Zeiger fälschlicherweise verwendet
werden. Die Schwachstelle in Kerberos führt, wenn mehrere Realms verwaltet
werden, ggf. zu einem Crash des KDCs. Der Angriff kann durch entfernte,
nicht authentifizierte Angreifer ausgeführt werden.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1218/

Schwachstelle CVE-2013-1418 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-1418

Schwachstelle CVE-2013-6800 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-6800

Schwachstelle CVE-2014-4341 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-4341

Schwachstelle CVE-2014-4344 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-4344

Red Hat Security Advisory RHSA-2014:1245:
http://rhn.redhat.com/errata/RHSA-2014-1245.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.