JVNDB-2010-002797

MIT Kerberos 5 の Key Distribution Center におけるクライアントになりすまされる脆弱性

MIT Kerberos 5 の Key Distribution Center (KDC) には、TGS リクエストを保護する TGT 証明書の使用を適切に制限しないため、クライアントになりすまされる脆弱性が存在します。

MIT Kerberos

• Kerberos 5 1.7x

VMware

• VMware ESX 4.1
• VMware ESXi 4.1

アップル

• Apple Mac OS X v10.5.8
• Apple Mac OS X v10.6 から v10.6.6
• Apple Mac OS X Server v10.5.8
• Apple Mac OS X Server v10.6 から v10.6.6

リモート認証されたユーザにより、 内部リクエストを上書きされ、クライアントになりすまされる可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

MIT Kerberos

• MIT krb5 Security Advisory : MITKRB5-SA-2010-007

VMware

• VMware Security Advisories : VMSA-2011-0007

アップル

• Apple Security Updates : HT4581
• Apple セキュリティアップデート : HT4581

オラクル

• SECURITY BLOG : Multiple vulnerabilities in kerberos

1. 環境設定(CWE-16) [NVD評価]
2. 認可・権限・アクセス制御(CWE-264) [NVD評価]

1. CVE-2010-4021

1. JVN : JVNVU#636925
2. National Vulnerability Database (NVD) : CVE-2010-4021
3. SecurityFocus : 45122
4. SecurityTracker : 1024803
5. VUPEN Security : VUPEN/ADV-2010-3094
6. OPEN SOURCE VULNERABILITY DATABASE (OSVDB) : 69607

• [2011年04月21日]
    掲載
  [2011年05月16日]
    影響を受けるシステム：VMware (VMSA-2011-0007) の情報を追加
    ベンダ情報：VMware (VMSA-2011-0007) を追加
  [2013年11月01日]
    ベンダ情報：オラクル (Multiple vulnerabilities in kerberos) を追加