DFN-CERT-2012-1140 Schwachstelle in MIT Kerberos 5 [Linux][Fedora]

- 14. Juni 2012

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket krb5

Betroffene Plattformen:

Fedora 15
Fedora 16
Fedora 17

Eine Schwachstelle im MIT Kerberos 5 erlaubt einem entfernten,
authentifizierten Angreifer den Dienst zum Absturz zu bringen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://dl.fedoraproject.org/pub/fedora/linux/updates/

CVE-2012-1013: Schwachstelle in MIT Kerberos 5

In Kerberos Version 1.8.x, 1.9.x und 1.10.x vor Version 1.10.2 ist in der
Funktion check_1_6_dummy() in der Datei lib/kadm5/srv/svr_principal.c eine
NULL-Pointer-Referenzierung möglich. Einem entfernten Angreifer, der sich
angemeldet hat und über administrative Rechte verfügt, ist es möglich den
Dienst zum Absturz zu bringen, in dem er eine Anfrage
“KRB5_KDB_DISALLOW_ALL_TIX” schickt, die kein Kennwort enthält.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-1140/

Das Hersteller Advisory:
http://lists.fedoraproject.org/pipermail/package-announce/2012-June/082186.html
http://lists.fedoraproject.org/pipermail/package-announce/2012-June/082194.html
http://lists.fedoraproject.org/pipermail/package-announce/2012-June/082183.html

Schwachstelle CVE-2012-1013:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-1013