Objet: Vulnérabilités dans Kerberos

• Référence: CERTA-2009-AVI-133-002
• Titre: Vulnérabilités dans Kerberos
• Date de la première version: 09 avril 2009
• Date de la dernière version: 22 juin 2009
• Source(s): Aucune; Pièce(s) jointe(s)
• Pièce(s) jointe(s): Aucune(s)

Risque

• Déni de service à distance ;
• atteinte à la confidentialité des données.

Systèmes affectés

Kerberos krb5.

Résumé

Plusieurs vulnérabilités affectent Kerberos. Elles permettent de réaliser un déni de service à distance ou une atteinte à la confidentialité des données.

Description

Plusieurs vulnérabilités affectent Kerberos :

• une erreur dans le décodeur ASN.1 permet à un utilisateur malveillant de provoquer un déni de service à distance ;
• plusieurs vulnérabilités dans l'un des mécanismes de l'interface GSS-API permettent à un utilisateur malveillant de provoquer un déni de service à distance et permettraient de lire des portions de mémoire.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletins de sécurité du projet Kerberos du 07 avril 2009 :

  http://web.mit.edu/kerberos/advisories/MITKRB5-SA-2009-001.txt
  

  http://web.mit.edu/kerberos/advisories/MITKRB5-SA-2009-002.txt
  

• Bulletin de sécurité Debian DSA 1766 du 09 avril 2009 :

  http://www.debian.org/security/2009/dsa-1766
  

• Bulletin de sécurité Fedora FEDORA-2009-2834 du 18 mars 2009 :

  http://www.redhat.com/archives/fedora-package-announce/2009-April/msg00205.html
  

• Bulletin de sécurité Fedora FEDORA-2009-2852 du 18 mars 2009 :

  http://www.redhat.com/archives/fedora-package-announce/2009-April/msg00206.html
  

• Bulletins de sécurité Novell NKDC 20090409 du 14 avril 2009 :

  http://support.novell.com/docs/Readmes/InfoDocument/patchbuilber/readme_5047180.html
  

  http://support.novell.com/docs/Readmes/InfoDocument/patchbuilber/readme_5047181.html
  

• Bulletin de sécurité RedHat RHSA-2009:0408-1 du 07 avril 2009 :

  http://rhn.redhat.com/errata/RHSA-2009-0408.html
  

• Bulletin de sécurité RedHat RHSA-2009:0409-1 du 07 avril 2009 :

  http://rhn.redhat.com/errata/RHSA-2009-0409.html
  

• Bulletin de sécurité RedHat RHSA-2009:0410-1 du 07 avril 2009 :

  http://rhn.redhat.com/errata/RHSA-2009-0410.html
  

• Bulletin de sécurité Sun 256728 du 19 juin 2009 :

  http://sunsolve.sun.com/search/document.do?assetkey=1-66-256728-1
  

• Bulletin de sécurité Suse SUSE-SA:2009:019 du 08 avril 2009 :

  http://lists.opensuse.org/opensuse-security-announce/2009-04/00005.html
  

• Bulletin de sécurité Ubuntu USN-755-1 du 08 avril 2009 :

  http://lists.ubuntu.com/archives/ubuntu-security-announce/2009-April/000881.html
  

• Référence CVE CVE-2009-0844 :

  https://www.cve.org/CVERecord?id=CVE-2009-0844
  

• Référence CVE CVE-2009-0845 :

  https://www.cve.org/CVERecord?id=CVE-2009-0845
  

• Référence CVE CVE-2009-0846 :

  https://www.cve.org/CVERecord?id=CVE-2009-0846
  

• Référence CVE CVE-2009-0847 :

  https://www.cve.org/CVERecord?id=CVE-2009-0847
  

Gestion détaillée du document

le 09 avril 2009

version initiale.

le 17 avril 2009

ajout des bulletins Novell.

le 22 juin 2009

ajout du bulletin Sun.