來自 Red Hat 安全性公告 2008:0164：

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 krb5 套件，可解決一些問題並修正數個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有重大安全性影響。

Kerberos 是一個網路驗證系統，其可讓用戶端與伺服器彼此透過使用對稱加密與信任的第三方 (即 KDC) 進行驗證。

在 MIT Kerberos 驗證服務與金鑰發佈中心伺服器 (krb5kdc) 處理 Kerberos v4 通訊協定封包的方法中發現一個瑕疵。未驗證的遠端攻擊者可使用此瑕疵造成 krb5kdc 程序損毀、洩漏其部分記憶體，或可能使用格式有誤或遭截斷的 Kerberos v4 通訊協定要求執行任意程式碼。(CVE-2008-0062、CVE-2008-0063)

此問題只會影響啟用 Kerberos v4 通訊協定相容性的 krb5kdc，這是 Red Hat Enterprise Linux 4 上的預設設定。Kerberos v4 通訊協定支援可透過將 'v4_mode=none' (不含引號) 新增至 /var/kerberos/krb5kdc/kdc.conf 的 '[kdcdefaults]' 區段來停用。

Secure Endpoints 的 Jeff Altman 在 MIT Kerberos kadmind 伺服器所使用的 RPC 程式庫中發現了瑕疵。未驗證的遠端攻擊者可使用此瑕疵造成 kadmind 當機，或可能執行任意程式碼。此問題只影響到設定了某些資源限制的系統，而未影響到使用 Red Hat Enterprise Linux 5 所使用之預設資源限制的系統。(CVE-2008-0947)

Red Hat 要感謝 MIT 報告這些問題。

在 MIT Kerberos 所使用之 GSSAPI 程式庫中發現了多個記憶體管理瑕疵。這些瑕疵可能會導致使用已釋放的記憶體或嘗試釋放已釋放的記憶體區塊 (重複釋放瑕疵)，可能造成當機或執行任意程式碼。(CVE-2007-5901、CVE-2007-5971)

除了以上解決的安全性問題以外，也修正了下列錯誤：

* 當 SPNEGO 是 GSSAPI 驗證期間的基礎機制時，委派的 krb5 認證並未正確儲存。因此，嘗試將委派的 Kerberos 5 認證複製到認證快取的應用程式收到了「提供的認證無效」訊息，而非已委派認證的副本。在此更新之下，將可正確搜尋 SPNEGO 認證，允許應用程式如預期複製委派的認證。

* 應用程式可以起始內容接受 (透過 gss_accept_sec_context) 而不傳遞會指出已經委派認證的 ret_flags 值。在此類執行個體中，應已傳回委派的認證處理。此更新版套件新增了 temp_ret_flag，其可在事件中儲存認證狀態，而在此事件中，呼叫 gss_accept_sec_context 的應用程式不會傳遞其他 ret_flags 值。

* 在接收到某些錯誤時，或當封包對 UDP 而言太大時，kpasswd 並未遞補至 TCP。此更新更正了此問題。

* 當 libkrb5 密碼常式產生了設定密碼或變更密碼要求時，針對第一個要求之後的所有後續要求產生了錯誤的序列號。如果主要伺服器無法使用，這變導致密碼變更要求失敗。此更新版套件透過在建立 AP-REQ 資料之後儲存序列號值並在產生要求之前還原此值來更正此問題。

* 當使用者的密碼到期時，kinit 不會提示該使用者變更密碼，而是只會通知使用者他們的密碼已經到期。此更新更正了此行為：當密碼到期時，kinit 現在會提示設定新密碼。

建議所有 krb5 使用者皆升級至這些更新版套件，其中包含可解決這些弱點並修正這些錯誤的反向移植修正。

偵測

Oracle Linux 5：krb5 (ELSA-2008-0164)

critical Nessus Plugin ID 67664

找不到變更記錄