DFN-CERT-2011-1890 Schwachstelle in Ykclient [Linux][Fedora]

- 13. Dezember 2011

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket ykclient

Betroffene Plattformen:

Fedora 16

Eine Schwachstelle in Ykclient erlaubt einem entfernten Angreifer die
Authentifizierung durch ein leeres Passwort zu umgehen.

Yubikey stellt mittels eines USB-Memory-Sticks EinmalpasswÃ¶rter fÃŒr
Authentifizierungen in Online-Anwendungen zur VerfÃŒgung.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://dl.fedoraproject.org/pub/fedora/linux/updates/

CVE-2011-4120: Schwachstelle in Pam_yubico

Eine Schwachstelle in pam_yubico ermÃ¶glicht es – falls ‘use_first_pass’ der
PAM Konfiguration nicht verwendet wird und falls das Modul pam_yubico als
‘sufficient’ in der PAM Konfiguration gesetzt ist – einem enfernten
Angreifer die Password-Authentifizierung durch Eingabe eines NULL-Wertes als
Passwort (Ctrl-D) zu umgehen und somit unerlaubten Zugriff zu erlangen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2011-1890/

Das Hersteller Advisory:
http://lists.fedoraproject.org/pipermail/package-announce/2011-December/070872.html

Schwachstelle CVE-2011-4120:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4120