Detectan vulnerabilidades en el protocolo Kerberos 5 del MIT

El CERT/UNAM-CERT, a través de sus equipos de respuesta a incidentes de Seguridad en Cómputo, emitió un nuevo boletí­n donde informan que la implementación del protocolo Kerberos 5 del MIT contiene varias  vulnerabilidades. La más severa de ellas podrí­a permitir a un intruso remoto no autenticado ejecutar código arbitrario en un KDC (Kerberos Distribution Center). Esto podrí­a tener como resultado el compromiso de todo un realm de Kerberos.Fuente: CERT/CC y diversos reportes de Equipos de Respuesta a Incidentes,así­ como Foros y Listas de Discusión.Sistemas Afectados* Versiones de Kerberos 5 implementadas por el MIT anteriores a la krb5-1.3.5.* Aplicaciones que utilizan versiones de Kerberos 5 implementadas por el MIT anteriores a la krb5-1.3.5.* Aplicaciones que contienen código derivado de la implementación de Kerberos 5 del MIT.La información del distribuidor actualizada estará disponible en la sección "System Affected" de cada una de las Notas de Vulnerabilidades(http://www.kb.cert.org/vuls/byid?searchview&query=VU#550464 or VU#866472 or VU#795632 or VU#350792).I. DescripciónExisten varias vulnerabilidades en la implementación del protocolo Kerberos 5 del MIT. Con una excepción (VU#550464), todas las vulnerabilidades involucran liberación de memoria heap de forma insegura (vulnerabilidades del tipo double-free) durante el manejo de errores y decodificación ASN.1 (Abstract Syntax Notation One). Para obtener mayores detalles, consulte las siguientes notas de vulnerabilidades.* VU#795632 - Funciones de decodificación de ASN.1 de la implementación de Kerberos 5 del MIT liberan memoria de forma insegura (double-free).La biblioteca de Kerberos 5 del MIT no libera de forma segura memoria heap cuando decodifica estructuras ASN.1, dando como resultado vulnerabilidades del tipo double-free. Un intruso remoto no autenticado podrí­a ejecutar código arbitrario en un servidor KDC, lo cual, podrí­a comprometer todo el realm deKerberos. Un intruso podrí­a ser capaz de ejecutar código arbitrario en los clientes de Kerberos, o causar una negación de servicio en los KDCs o en los clientes. (Otros recursos: MITKRB5-SA-2004-002, CAN-2004-0642)* VU#866472 - La función de decodificación krb5_rd_cred() del ASN.1 de la implementación de Kerberos 5 del MIT libera memoria de forma insegura(double-free).La función krb5_rd_cred() en la implementación del MIT de Kerberos 5 no libera memoria heap de forma segura cuando decodifica estructuras ASN.1, dando como resultado una vulnerabilidad del tipo double-free. Un intruso remoto noautenticado podrí­a ejecutar código arbitrario o causar una negación de servicio en cualquier sistema ejecutando una aplicación que llame a la función krb5_rd_cred(),

Esto incluye servidores de aplicación de Kerberos y otras aplicaciones que procesan autenticación de Kerberos mediante la biblioteca de Kerberos 5 de la implementación del MIT, GSSAPI (Generic Security Services Application Programming Interface) y otras bibliotecas. (Otros recursos: MITKRB5-SA-2004-002, CAN-2004-0643)* VU#866472 - El demonio krb524d de la implementación de Kerberos del MIT libera memoria de forma insegura.El demonio krb524d de la implementación de Kerberos del MIT no realiza la liberación de memoria heap de forma segura cuando maneja una condición de error, dando como resultado una vulnerabilidad del tipo double-free. Un intruso remoto no autenticado podrí­a ejecutar código arbitrario en un sistema ejecutando krb524d, el cual, en muchos casos es también un KDC.

El compromiso de un sistema KDC puede permitir también el compromiso de todo un realm de Kerberos. Un intruso podrí­a también ser capaz de causar una negación de servicio en un sistema ejecutando krb524d. (Otros Recursos: MITKRB5-SA-2004-002, CAN-2004-0772)* VU#550464 - La función de decodificación asn1buf_skiptail() del ASN.1 de la implementación de Kerberos 5 del MIT no termina adecuadamente un ciclo.La función asn1buf_skiptail() en la biblioteca de la implementación de Kerberos 5 del MIT no termina adecuadamente un ciclo, permitiendo a un intruso remoto no autenticado causar una negación de servicio en un KDC, servidor de aplicaciones o en un cliente de Kerberos. (Otros Recursos: MITKRB5-SA-2004-003, CAN-2004-0644)II. ImpactoLos impactos de estas vulnerabilidades varí­an, pero un intruso podrí­a ser capaz de ejecutar código arbitrario en los KDCs, sistemas ejecutando krb524d  (tí­picamente también KDCs), servidores de aplicaciones, aplicaciones que utilizan bibliotecas de Kerberos directamente o ví­a GSSAPI, y clientes de Kerberos. Un intruso podrí­a causar también una negación de servicio en cualquiera de estos sistemas.La más seria de estas vulnerabilidades podrí­a permitir a un intruso remoto no autenticado ejecutar código arbitrario en un sistema KDC. Esto podrí­a resultar en el compromiso tanto del KDC como de todo elrealm de Kerberos.III. Solución* Aplicar un parche o una actualización.Consulte a su distribuidor de parches o actualizaciones. Para obtener mayor información sobre un distribuidor especí­fico, consulte la sección "System Affected" de cada Nota de Vulnerabilidad individual o contacte a su distribuidordirectamente.Alternativamente, aplique los parches apropiados referenciados en MITKRB5-SA-2004-002 y MITKRB5-SA-2004-003 recompile.Estas vulnerabilidades serán solucionadas en krb5-1.3.5.