S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 22 juin 2009 No CERTA-2009-AVI-133-002

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans Kerberos

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Déni de service à distance ;
• atteinte à la confidentialité des données.

2 Systèmes affectés

3 Résumé

4 Description

• une erreur dans le décodeur ASN.1 permet à un utilisateur malveillant de provoquer un déni de service à distance ;
• plusieurs vulnérabilités dans l'un des mécanismes de l'interface GSS-API permettent à un utilisateur malveillant de provoquer un déni de service à distance et permettraient de lire des portions de mémoire.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletins de sécurité du projet Kerberos du 07 avril 2009 :

  http://web.mit.edu/kerberos/advisories/MITKRB5-SA-2009-001.txt
  

  http://web.mit.edu/kerberos/advisories/MITKRB5-SA-2009-002.txt
  

• Bulletin de sécurité Debian DSA 1766 du 09 avril 2009 :

  http://www.debian.org/security/2009/dsa-1766
  

• Bulletin de sécurité Fedora FEDORA-2009-2834 du 18 mars 2009 :

  http://www.redhat.com/archives/fedora-package-announce/2009-April/msg00205.html
  

• Bulletin de sécurité Fedora FEDORA-2009-2852 du 18 mars 2009 :

  http://www.redhat.com/archives/fedora-package-announce/2009-April/msg00206.html
  

• Bulletins de sécurité Novell NKDC 20090409 du 14 avril 2009 :

  http://support.novell.com/docs/Readmes/InfoDocument/patchbuilber/readme_5047180.html
  

  http://support.novell.com/docs/Readmes/InfoDocument/patchbuilber/readme_5047181.html
  

• Bulletin de sécurité RedHat RHSA-2009:0408-1 du 07 avril 2009 :

  http://rhn.redhat.com/errata/RHSA-2009-0408.html
  

• Bulletin de sécurité RedHat RHSA-2009:0409-1 du 07 avril 2009 :

  http://rhn.redhat.com/errata/RHSA-2009-0409.html
  

• Bulletin de sécurité RedHat RHSA-2009:0410-1 du 07 avril 2009 :

  http://rhn.redhat.com/errata/RHSA-2009-0410.html
  

• Bulletin de sécurité Sun 256728 du 19 juin 2009 :

  http://sunsolve.sun.com/search/document.do?assetkey=1-66-256728-1
  

• Bulletin de sécurité Suse SUSE-SA:2009:019 du 08 avril 2009 :

  http://lists.opensuse.org/opensuse-security-announce/2009-04/00005.html
  

• Bulletin de sécurité Ubuntu USN-755-1 du 08 avril 2009 :

  http://lists.ubuntu.com/archives/ubuntu-security-announce/2009-April/000881.html
  

• Référence CVE CVE-2009-0844 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-0844
  

• Référence CVE CVE-2009-0845 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-0845
  

• Référence CVE CVE-2009-0846 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-0846
  

• Référence CVE CVE-2009-0847 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-0847
  

Gestion détaillée du document

09 avril 2009

version initiale.

17 avril 2009

ajout des bulletins Novell.

22 juin 2009

ajout du bulletin Sun.