Avis du CERT-FR
Objet : Vulnérabilités dans MIT Kerberos 5
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
MIT Kerberos 5 versions krb5-1.6.1 et antérieures.
Résumé
Plusieurs vulnérabilités affectant MIT Kerberos 5 permettent à une personne d'exécuter du code arbitraire à distance.
Description
Trois vulnérabilités ont été identifiées dans le démon d'administration kadmind de MIT Kerberos 5. La première concerne un débordement de mémoire (CVE-2007-2798), les deux autres sont des erreurs au niveau de la librairie RPC (CVE-2007-2442 et CVE-2007-2443). Ces vulnérabilités peuvent être exploitées par un attaquant pour exécuter du code arbitraire à distance.
Ces vulnérabilités ne concernent pas le protocole Kerberos.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité du MIT MITKRB5-SA-2007-004
http://web.mit.edu/kerberos/www/advisories/MITKRB5-SA-2007-004.txt -
Bulletin de sécurité Debian DSA-1323 du 28 juin 2007 :
http://www.debian.org/security/2007/dsa-1323 -
Bulletin de sécurité Gentoo GLSA-200707-11 du 25 juillet 2007 :
http://www.gentoo.org/security/en/glsa/glsa-200707-11.xml -
Bulletin de sécurité Mandriva MDKSA-2007:137 du 26 juin 2007 :
http://archives.mandrivalinux.com/security-announce/2007-06/msg00046.php -
Bulletin de sécurité Red Hat RHSA-2007:0384-4 du 26 juin 2007 :
http://rhn.redhat.com/errata/RHSA-2007-0384.html -
Bulletin de sécurité Red Hat RHSA-2007:0562-2 du 26 juin 2007 :
http://rhn.redhat.com/errata/RHSA-2007-0562.html -
Bulletin de sécurité SUN #102914 du 26 juin 2007 (CVE-2007-2442) :
http://sunsolve.sun.com/search/docuement.do?assetkey=1-26-102914-1 -
Bulletin de sécurité SuSE SUSE-SA:2007:038 du 03 juillet 2007 :
http://www.novell.com/linux/security/advisories/2007_38_krb5.html -
Bulletin de sécurité Ubuntu USN-477-1 du 27 juin 2007 :
http://www.ubuntu.com/usn/usn-477-1 -
Bulletin de sécurité du MIT MITKRB5-SA-2007-00 du 26 juin 2007 :
http://web.mit.edu/kerberos/www/advisories/MITKRB5-SA-2007-005.txt -
Référence CVE CVE-2007-2442
https://www.cve.org/CVERecord?id=CVE-2007-2442 -
Référence CVE CVE-2007-2443
https://www.cve.org/CVERecord?id=CVE-2007-2443 -
Référence CVE CVE-2007-2798
https://www.cve.org/CVERecord?id=CVE-2007-2798
Gestion détaillée du document
| Date | Description |
|---|---|
| 28 juin 2007 | version initiale. |
| 27 juillet 2007 | ajout des références aux bulletins de sécurité Gentoo, Debian et SuSE. |