Avis du CERT-FR

Json

Objet : Vulnérabilités sur le serveur FTP utilisant Kerberos 5

Gestion du document

Référence	CERTA-2000-AVI-007
Titre	Vulnérabilités sur le serveur FTP utilisant Kerberos 5
Date de la première version	15 juin 2000
Date de la dernière version	15 juin 2000
Source(s)	CERT IST Masachuset's Institute of Technology (MIT)

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Accès root
Déni de service
Exécution de commandes non-autorisées

Systèmes affectés

Kerberos 5 realeases krb5-1.1 et krb.5-1.1.1, ainsi que les version beta krb5-1.1.2-beta1 krb5-1.2-beta2

Description

GSSFTP est un serveur FTP sécurisé utilisant la suite Kerberos 5 du MIT. Deux vulnérabilités y ont été découvertes :

Un utilisateur ayant un accès local au serveur FTP peut obtenir les privilèges de root lui permettant d'éxecuter des commandes qui ne lui sont pas autorisées.
Un utilisateur distant peut effectuer un déni de service.

Windows 2000 repose sur les mécanismes d'authentification offerts par le protocole Kerberos 5. À ce titre, un client ftp sous Windows peut s'authentifier auprès d'un serveur GSSFTP compromis donnant ainsi un faux sentiment de sécurité.

Solutions

Appliquer le correctif concernant la vulnérabilité de GSSFTP pour les releases krb5-1.1 et krb.5-1.1.1 de kerberos 5 se trouvant à l'adresse suivante :
```
http://web.mit.edu/kerberos/www/advisories/ftpd_111_patch.txt
```
Mettre à jour la version 1.2 de Kerberos 5 (voir l'adresse qui suit) :
```
http://web.mit.edu/kerberos/www
```

Gestion détaillée du document

Date	Description
15 juin 2000	version initiale.