JVNDB-2010-002540

MIT Kerberos 5 における KRB-SAFE メッセージを偽造される脆弱性

MIT Kerberos 5 には、チェックサムの適合性を適切に判定しないため、Key Distribution Center (KDC) へのレスポンスを変更される、または KRB-SAFE メッセージを偽造される脆弱性が存在します。

MIT Kerberos

• Kerberos 5 1.3.x
• Kerberos 5 1.4.x
• Kerberos 5 1.5.x
• Kerberos 5 1.6.x
• Kerberos 5 1.7.x
• Kerberos 5 1.8.3 およびそれ以前

VMware

• VMware ESX 3.0.3
• VMware ESX 3.5
• VMware ESX 4.0
• VMware ESX 4.1
• VMware ESXi 4.1

アップル

• Apple Mac OS X v10.5.8
• Apple Mac OS X v10.6 から v10.6.6
• Apple Mac OS X Server v10.5.8
• Apple Mac OS X Server v10.6 から v10.6.6

オラクル

• Oracle Virtualization の Oracle Secure Global Desktop 4.63
• Oracle Virtualization の Oracle Secure Global Desktop 4.71
• Oracle Virtualization の Oracle Secure Global Desktop 5.1
• Oracle Virtualization の Oracle Secure Global Desktop 5.2
• Oracle Solaris 10 
• Oracle Solaris 11 Express

ヒューレット・パッカード

• HP-UX 11.11 
• HP-UX 11.23 
• HP-UX 11.31 

ミラクル・リナックス

• Asianux Server 3 (x86) 
• Asianux Server 3 (x86-64) 
• Asianux Server 3.0 
• Asianux Server 3.0 (x86-64) 

レッドハット

• Red Hat Enterprise Linux 5 (server) 
• Red Hat Enterprise Linux 4 (as) 
• Red Hat Enterprise Linux 4.8 (as) 
• Red Hat Enterprise Linux 4 (es) 
• Red Hat Enterprise Linux 4.8 (es) 
• Red Hat Enterprise Linux 4 (ws) 
• Red Hat Enterprise Linux Desktop 6 
• Red Hat Enterprise Linux Desktop 4.0 
• Red Hat Enterprise Linux Desktop 5.0 (client) 
• Red Hat Enterprise Linux HPC Node 6 
• Red Hat Enterprise Linux Server 6 
• Red Hat Enterprise Linux Workstation 6 
• RHEL Desktop Workstation 5 (client) 

第三者により、unkeyed チェックサム、または RC4 キーを使用するチェックサムを介して、Key Distribution Center (KDC) へのレスポンスを変更される、または KRB-SAFE メッセージを偽造される可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

MIT Kerberos

• MIT krb5 Security Advisory : MITKRB5-SA-2010-007

VMware

• VMware Security Advisories : VMSA-2011-0007
• VMware Security Advisories : VMSA-2011-0012

アップル

• Apple Security Updates : HT4581
• Apple セキュリティアップデート : HT4581

オラクル

• Oracle Critical Patch Update : Oracle Critical Patch Update Advisory - July 2015
• Oracle Critical Patch Update : Text Form of Oracle Critical Patch Update - July 2015 Risk Matrices
• SECURITY BLOG : cve_2010_1323_vulnerability_in
• SECURITY BLOG : Multiple vulnerabilities in kerberos
• SECURITY BLOG : July 2015 Critical Patch Update Released

ヒューレット・パッカード

• HP Security Bulletin : HPSBUX02623

ミラクル・リナックス

• Asianux Technical Support Network : krb5-1.6.1-36.AXS3.6
• MIRACLE LINUX アップデート情報 : 2159

レッドハット

• Red Hat Security Advisory : RHSA-2010:0925
• Red Hat Security Advisory : RHSA-2010:0926

1. 設計上の問題(CWE-DesignError) [NVD評価]

1. CVE-2010-1323

1. JVN : JVNVU#636925
2. National Vulnerability Database (NVD) : CVE-2010-1323
3. Secunia Advisory : SA42396
4. Secunia Advisory : SA42436
5. Secunia Advisory : SA42399
6. Secunia Advisory : SA43015
7. SecurityFocus : 45118
8. SecurityTracker : 1024803
9. VUPEN Security : VUPEN/ADV-2010-3094
10. VUPEN Security : VUPEN/ADV-2010-3095
11. VUPEN Security : VUPEN/ADV-2011-0187
12. OPEN SOURCE VULNERABILITY DATABASE (OSVDB) : 69610

• [2010年12月22日]
    掲載
  [2011年02月03日]
    影響を受けるシステム：ヒューレット・パッカード (HPSBUX02623) の情報を追加
    ベンダ情報：ヒューレット・パッカード (HPSBUX02623) を追加
  [2011年04月01日]
    影響を受けるシステム：アップル (HT4581) の情報を追加
    ベンダ情報：アップル (HT4581) を追加
  [2011年05月09日]
    影響を受けるシステム：VMware (VMSA-2011-0007) の情報を追加
    影響を受けるシステム：オラクル (cve_2010_1323_vulnerability_in) の情報を追加
    ベンダ情報：VMware (VMSA-2011-0007) を追加
    ベンダ情報：オラクル (cve_2010_1323_vulnerability_in) を追加
  [2012年12月18日]
    影響を受けるシステム：VMware (VMSA-2011-0012) の情報を追加
    ベンダ情報：VMware (VMSA-2011-0012) を追加
  [2013年11月01日]
    ベンダ情報：オラクル (Multiple vulnerabilities in kerberos) を追加
  [2015年07月29日]
    影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
    ベンダ情報：オラクル (Oracle Critical Patch Update Advisory - July 2015) を追加
    ベンダ情報：オラクル (Text Form of Oracle Critical Patch Update - July 2015 Risk Matrices) を追加
    ベンダ情報：オラクル (July 2015 Critical Patch Update Released) を追加