L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de krb5 MIT

alerte de vulnérabilité informatique CVE-2018-5729 CVE-2018-5730

krb5 : déréférencement de pointeur NULL via ldap_principal2.c

Synthèse de la vulnérabilité

Produits concernés : Fedora, MIT krb5, openSUSE Leap, RHEL.
Gravité : 1/4.
Conséquences : déni de service du serveur, déni de service du service, déni de service du client.
Provenance : compte privilégié.
Confiance : confirmé par l'éditeur (5/5).
Date création : 21/02/2018.
Références : CVE-2018-5729, CVE-2018-5730, FEDORA-2018-391a1f3e61, FEDORA-2018-f97cb1c9b0, openSUSE-SU-2018:0854-1, RHSA-2018:3071-01, VIGILANCE-VUL-25336.

Description de la vulnérabilité

Un attaquant peut forcer le déréférencement d'un pointeur NULL dans ldap_principal2.c de krb5, afin de mener un déni de service.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité informatique CVE-2018-5710

MIT krb5 : déréférencement de pointeur NULL via plugins/kdb/ldap/ libkdb_ldap/ ldap_principal2.c

Synthèse de la vulnérabilité

Produits concernés : MIT krb5.
Gravité : 2/4.
Conséquences : déni de service du service, déni de service du client.
Provenance : compte utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 17/01/2018.
Références : CVE-2018-5710, VIGILANCE-VUL-25096.

Description de la vulnérabilité

Un attaquant peut forcer le déréférencement d'un pointeur NULL via plugins/kdb/ldap/ libkdb_ldap/ ldap_principal2.c de MIT krb5, afin de mener un déni de service.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité informatique CVE-2018-5709

MIT krb5 : accès en lecture et écriture via kadmin/dbutil/dump.c

Synthèse de la vulnérabilité

Produits concernés : MIT krb5.
Gravité : 2/4.
Conséquences : lecture de données, création/modification de données, effacement de données.
Provenance : compte utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 17/01/2018.
Références : CVE-2018-5709, VIGILANCE-VUL-25095.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès via kadmin/dbutil/dump.c de MIT krb5, afin de lire ou modifier des données.
Bulletin Vigil@nce complet.... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2017-15088

MIT krb5 : buffer overflow via PKINIT get_matching_data

Synthèse de la vulnérabilité

Produits concernés : Fedora, MIT krb5, openSUSE Leap, SUSE Linux Enterprise Desktop, SLES.
Gravité : 3/4.
Conséquences : accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur, déni de service du service, déni de service du client.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 08/11/2017.
Références : 871698, CVE-2017-15088, FEDORA-2017-41957e0f90, openSUSE-SU-2017:2993-1, SUSE-SU-2017:2948-1, VIGILANCE-VUL-24388.

Description de la vulnérabilité

Un attaquant peut provoquer un buffer overflow via PKINIT get_matching_data() de MIT krb5, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité CVE-2017-11462

MIT krb5 : utilisation de mémoire libérée via GSS-API

Synthèse de la vulnérabilité

Produits concernés : Fedora, MIT krb5, openSUSE Leap, WindRiver Linux.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, déni de service du service, déni de service du client.
Provenance : client intranet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 11/09/2017.
Références : 873563, CVE-2017-11462, FEDORA-2017-10c74147f9, FEDORA-2017-56e23bc2b5, openSUSE-SU-2017:2712-1, VIGILANCE-VUL-23791.

Description de la vulnérabilité

Un attaquant peut provoquer l'utilisation d'une zone mémoire libérée via GSS-API de MIT krb5, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité informatique CVE-2017-7562

MIT krb5 : élévation de privilèges via EKU Cert Missing SAN

Synthèse de la vulnérabilité

Produits concernés : Fedora, MIT krb5, RHEL, SUSE Linux Enterprise Desktop, SLES, WindRiver Linux.
Gravité : 2/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur.
Provenance : client intranet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 29/08/2017.
Références : CVE-2017-7562, FEDORA-2017-bf74db7147, RHSA-2018:0666-01, SUSE-SU-2018:1425-1, VIGILANCE-VUL-23635.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions via EKU Cert Missing SAN de MIT krb5, afin d'élever ses privilèges.
Bulletin Vigil@nce complet.... (Essai gratuit)

avis de vulnérabilité informatique CVE-2017-11368

MIT Kerberos : erreur d'assertion via krb5kdc S4U2Self/S4U2Proxy

Synthèse de la vulnérabilité

Produits concernés : Debian, Fedora, MIT krb5, Solaris, RHEL.
Gravité : 2/4.
Conséquences : déni de service du service, déni de service du client.
Provenance : client intranet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 25/07/2017.
Références : bulletinjul2018, CVE-2017-11368, DLA-1058-1, FEDORA-2017-71c47e1e82, FEDORA-2017-8e9d9771c4, FEDORA-2017-e5b36383f4, RHSA-2018:0666-01, VIGILANCE-VUL-23349.

Description de la vulnérabilité

Un attaquant peut provoquer une erreur d'assertion via krb5kdc S4U2Self/S4U2Proxy de MIT Kerberos, afin de mener un déni de service.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité informatique 20637

MIT krb5 : amélioration de la sécurité via la désactivation de DES

Synthèse de la vulnérabilité

La sécurité de MIT krb5 a été améliorée en désactivant par défaut l'utilisation de l'algorithme de chiffrement faible DES.
Produits concernés : MIT krb5.
Gravité : 1/4.
Conséquences : sans conséquence.
Provenance : client internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 19/09/2016.
Références : VIGILANCE-VUL-20637.

Description de la vulnérabilité

Ce bulletin concerne une amélioration de la sécurité.

Il ne décrit pas une vulnérabilité.

La sécurité de MIT krb5 a donc été améliorée en désactivant par défaut l'utilisation de l'algorithme de chiffrement faible DES.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité 19992

MIT krb5 : buffer overflow via libkrad

Synthèse de la vulnérabilité

Un attaquant peut provoquer un buffer overflow via libkrad de MIT krb5, afin de mener un déni de service, et éventuellement d'exécuter du code.
Produits concernés : Fedora, MIT krb5.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, déni de service du service.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 28/06/2016.
Date révision : 26/07/2016.
Références : FEDORA-2016-0b966047e1, FEDORA-2016-335ed87353, FEDORA-2016-d18f993ab6, VIGILANCE-VUL-19992.

Description de la vulnérabilité

Le produit MIT krb5 utilise libkrad pour interagir avec RADIUS.

Cependant, si la taille des données est supérieure à la taille du tableau de stockage, un débordement se produit dans la fonction on_io_read() du fichier src/lib/krad/remote.c.

Un attaquant peut donc provoquer un buffer overflow via libkrad de MIT krb5, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet.... (Essai gratuit)

avis de vulnérabilité CVE-2016-3120

MIT krb5 : déni de service via KDC TGT Only

Synthèse de la vulnérabilité

Un attaquant peut envoyer une requête malveillante vers MIT krb5, afin de mener un déni de service du KDC.
Produits concernés : Debian, Fedora, MIT krb5, openSUSE Leap, Solaris, RHEL.
Gravité : 2/4.
Conséquences : déni de service du serveur, déni de service du service, déni de service du client.
Provenance : client intranet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 22/07/2016.
Références : bulletinapr2017, CVE-2016-3120, DLA-1265-1, FEDORA-2016-0674a3c372, FEDORA-2016-4a36663643, FEDORA-2016-f405b25923, openSUSE-SU-2016:2268-1, RHSA-2016:2591-02, VIGILANCE-VUL-20194.

Description de la vulnérabilité

Le produit MIT krb5 peut être configuré pour restreindre les clients anonymes à obtenir uniquement des TGT.

Cependant, dans ce cas, un client peut stopper le KDC.

Un attaquant peut donc envoyer une requête malveillante vers MIT krb5, afin de mener un déni de service du KDC.
Bulletin Vigil@nce complet.... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur krb5 MIT :