Bulletin d'alerte Debian

DSA-3000-1 krb5 -- Mise à jour de sécurité

Date du rapport :
9 août 2014
Paquets concernés :
krb5
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 753624, Bogue 753625, Bogue 755520, Bogue 755521, Bogue 757416.
Dans le dictionnaire CVE du Mitre : CVE-2014-4341, CVE-2014-4342, CVE-2014-4343, CVE-2014-4344, CVE-2014-4345.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans krb5, l'implémentation du MIT de Kerberos. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants :

  • CVE-2014-4341

    Un attaquant distant non authentifié avec la capacité d'injecter des paquets dans une session d'application GSSAPI légitimement établie peut provoquer un plantage du programme dû à des références de mémoire invalides lors d'une tentative de lecture au-delà de la fin d'un tampon.

  • CVE-2014-4342

    Un attaquant distant non authentifié avec la capacité d'injecter des paquets dans une session d'application GSSAPI légitimement établie peut provoquer un plantage du programme dû à des références de mémoire invalides lors d'une lecture au-delà de la fin d'un tampon ou en causant un déréférencement de pointeur NULL.

  • CVE-2014-4343

    Un attaquant distant non authentifié avec la capacité d'usurper des paquets qui apparaissent venir d'un accepteur GSSAPI peut provoquer une condition de double libération de zone de mémoire dans des initiateurs (clients) GSSAPI qui utilisent le mécanisme SPNEGO, en retournant un mécanisme sous-jacent différent de celui proposé par l'initiateur. Un attaquant distant pourrait exploiter ce défaut pour provoquer un plantage d'application ou éventuellement exécuter du code arbitraire.

  • CVE-2014-4344

    Un attaquant distant non authentifié ou partiellement authentifié peut provoquer un déréférencement de NULL et un plantage d'application pendant une négociation SPNEGO en envoyant un jeton vide, comme jeton de second contexte ou plus, de l'initiateur à l'accepteur.

  • CVE-2014-4345

    Quand kadmind est configuré pour utiliser LDAP pour la base de données du KDC (centre de distribution de clé), un attaquant distant authentifié peut lui faire réaliser une écriture hors limites (dépassement de tampon).

Pour la distribution stable (Wheezy), ces problèmes ont été corrigés dans la version 1.10.1+dfsg-5+deb7u2.

Pour la distribution unstable (Sid), ces problèmes ont été corrigés dans la version 1.12.1+dfsg-7.

Nous vous recommandons de mettre à jour vos paquets krb5.