RUS-CERT-999 – Archivierte Meldung

Meldung Nr: RUS-CERT-999

[Generic/Heimdal Kerberos] Systemkompromittierung übers Netz
(2002-10-22 10:08:32.409271+00)

Quelle: http://cert.uni-stuttgart.de/archive/bugtraq/2002/09/msg00345.html

In Heimdal Kerberos, einer freien Kerberos-Implementierung, wurden mehrere, teilweise kritische Schwachstellen entdeckt.

Betroffene Systeme

Systeme, die Heimdal Kerberos 0.4e und frühere Versionen verwenden.

Betroffene Systeme

Systeme, die Heimdal Kerberos 0.5 verwenden.
Systeme, die zu Heimdal Kerberos 0.5 äquivalente Patches verwenden.

MIT Kerberos ist von diesen Schwachstellen nach derzeitigem Kenntnisstand nicht betroffen.

Einfallstor
Da grundlegende Bibliotheksfunktionen von Heimdal Kerberos Fehler enthalten, muß davon ausgegangen werden, daß über alle Kerberos-Dienste Angriffe möglich sind (die UDP- und TCP-Ports 88, 464, 543-545, 749-751, 754, 1109, 2105, 2108, 2110-2112, 2120, 2121, 4444).

Auswirkung
Es ist offenbar möglich, über das Netz root-Rechte auf einen Kerberos-System zu erlangen, auf dem kadmind läuft.

Typ der Verwundbarkeit
integer arithmetic overflow bug, buffer over flow bug, read-only buffer overflow bug, etc.

Gefahrenpotential
sehr hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
In Heimdal Kerberos sind mehrere Schwachstellen entdeckt worden. Teilweise sind es DoS-Angriffe, die durch einen Fehler ermöglicht werden, der dem in der Meldung "Schwachstelle in der Resolver-Bibliothek von BIND" beschriebenen Problem ähnelt. Eine weitere Klasse von Fehlern ermöglicht root-Zugriff über das Netz; es handelt sich um Speicher-Allokationsfehler wie dem in typischen calloc()-Implementierungen.

Da von den Schwachstellen auch der Master-Server betroffen ist, läßt sich durch einen erfolgreichen Angriff das gesamte Kerberos-Realm kompromittieren.

Es gibt bereits Berichte, daß versucht wird, einige der Schwachstellen zur Erlangung von root-Rechten auszunutzen.

Gegenmaßnahmen

Einspielen eines Hersteller-Updates.
Upgrade auf Heimdal Kerberos 0.5.1.

Revisionen dieser Meldung

V.1.0 (2002-10-22)
V.1.1 (2002-10-23) Version 0.5 behebt die hier beschriebenen Probleme.

(fw)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

https://cert.uni-stuttgart.de/ticker/article.php?mid=999