遠端 MiracleLinux 3 主機已安裝受 AXSA:2012-256:02 公告中所提及一個弱點影響的套件。

    Kerberos V5 是受信任的第三方網路驗證系統可消除不安全的純文字密碼做法進而提高網路的安全性。
    此版本修正的安全性問題
    CVE-2011-1526 MIT Kerberos 第 5 版應用程式 (即 krb5-appl) 1.0.1 和更舊版本中 GSS-API FTP 程序的 ftpd.c 未檢查 krb5_setegid 傳回值進而允許經驗證的遠端使用者繞過預定的群組存取限制並建立會透過標準 FTP 命令覆寫、刪除或讀取檔案這與設定指令碼中遺漏 autoconf 測試有關。
    修正的錯誤：
     如果用戶端已使用超過 1024 個檔案描述符號則 Kerberos 程式庫中的一個錯誤可讓用戶端無法聯絡金鑰發布中心或損毀。此問題已修正Kerberos 程式庫現在使用 poll() 函式而非產生這些問題的 select() 函式。
     如果用戶端要求包含具有子機碼的驗證器則 KDC 在處理 ticket-granting 伺服器要求時無法釋放記憶體並消耗過量的記憶體。這個問題已修正。
     有時需要 Kerberos 驗證的服務會傳送兩個驗證要求至伺服器。第二個攻擊者可標記為重播攻擊然後加以拒絕。這個問題已修正。
     在 Kerberos 認證過期的情況下若以 -s 選項叫用 klist 命令有時會因分割錯誤而損毀。這個問題已修正。
     多行 FTP 巨集可因回歸而因分割錯誤而提前終止。這個問題已修正。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

MiracleLinux 3krb5-1.6.1-70.AXS3 (AXSA:2012-256:02)

medium Nessus Plugin ID 284316

版本 1.1