Bulletin d'alerte Debian

DSA-2518-1 krb5 -- Déni de service et exécution de code à distance

Date du rapport :

31 juillet 2012

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 683429.
Dans le dictionnaire CVE du Mitre : CVE-2012-1014, CVE-2012-1015.

Plus de précisions :

Emmanuel Bouillon de NCI Agency a découvert plusieurs vulnérabilités dans Kerberos du MIT, un démon implémentant le protocole d'authentification réseau.

CVE-2012-1014
En envoyant une AS-REQ (requête de service d'authentification) contrefaite pour l'occasion à un KDC (centre de distribution de clefs), un attaquant pourrait libérer un pointeur non initialisé, corrompant le tas. Cela peut conduire à un plantage du processus et même à l'exécution de code arbitraire.

Ce CVE ne concerne que les distributions testing (Wheezy) et unstable (Sid).
CVE-2012-1015
En envoyant une AS-REQ contrefaite pour l'occasion à un KDC, un attaquant pourrait libérer un pointeur non initialisé, permettant un plantage du processus et même l'exécution de code arbitraire.

Dans les deux cas, l'exécution de code arbitraire devrait être difficile à réaliser, mais pourrait ne pas être impossible.

Pour la distribution stable (Squeeze), ce problème a été corrigé dans la version 1.8.3+dfsg-4squeeze6.

Pour la distribution testing (Wheezy), ce problème a été corrigé dans la version 1.10.1+dfsg-2.

Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 1.10.1+dfsg-2.

Nous vous recommandons de mettre à jour vos paquets krb5.