Бюллетень безопасности FreeBSD-SA-17:05.heimdal (неофициальный перевод)

Первоисточник: https://www.freebsd.org/security/advisories/FreeBSD-SA-17:05.heimdal.asc

Тема: heimdal уязвимость при проверке имени службы KDC-REP
Категория: contrib
Модуль: heimdal
Анонсировано: 12.07.2017
Влияет на: все поддерживаемые версии FreeBSD.
Исправлено в: 2017-07-12 07:26:07 UTC (stable/11, 11.1-PRERELEASE)
2017-07-12 08:07:16 UTC (releng/11.1, 11.1-RC2-p1)
2017-07-12 08:07:16 UTC (releng/11.1, 11.1-RC1-p1)
2017-07-12 07:26:07 UTC (stable/11, 11.1-BETA3-p1)
2017-07-12 08:07:36 UTC (releng/11.0, 11.0-RELEASE-p11)
2017-07-12 07:26:07 UTC (stable/10, 10.3-STABLE)
2017-07-12 15:16:01 UTC (releng/10.3, 10.3-RELEASE-p20)
CVE ID: CVE-2017-11103

Для получения общей информации о рекомендациях по безопасности FreeBSD, посетите https://security.FreeBSD.org/.

I. Общая информация

Heimdal реализует протоколы сетевой аутентификации Kerberos 5. Протокол Kerberos использует «билеты» для аутентификации клиента на сервере, на котором запущена служба.
Центру выдачи ключей (KDC) доверяют конфиденциально хранить секретные ключи все принципалы, зарегистрированные в этой административной «области». Ключи используются как доказательство знания при проверке подлинности принципала.

II. Описание проблемы

В реализации Heimdal существует программная ошибка, которая использует неавторизованную текстовую версию имени службы KDC-REP, найденную в билете.

III. Влияние

Злоумышленник, который контролирует сеть между клиентом и службой, сможет выдавать себя за службу, что позволит успешно провести атаку через посредника (MITM), обходя взаимную аутентификацию.

IV. Временное решение

Временных решений нет, однако уязвимость затронет только клиентов, использующих Kerberos.

V. Решение

Выполните одно из следующих действий:

1) Обновите вашу систему до поддерживаемой FreeBSD stable или release / releng версии, выпущенной датой после устранения уязвимости.

Рекомендуется перезагрузка.

2) Обновите систему бинарными патчами:

Системы с RELEASE версией FreeBSD на i386 и amd64 платформах могут быть обновлены утилитой freebsd-update.

# freebsd-update fetch
# freebsd-update install

Рекомендуется перезагрузка.

3) Обновите систему при помощи исходного кода патча:

Ниже указанные патчи будут добавлены в релизные ветки FreeBSD.

а) Загрузите соответствующий патч, используя ниже приведенные ссылки и проверьте PGP подпись, используя вашу утилиту PGP.

# fetch https://security.FreeBSD.org/patches/SA-17:05/heimdal.patch
# fetch https://security.FreeBSD.org/patches/SA-17:05/heimdal.patch.asc
# gpg --verify heimdal.patch.asc

b) Примените патч, используя следующие команды под пользователем root:

# cd /usr/src
# patch < /path/to/patch

с) Перекомпилируйте операционную систему, используя buildworld и installworld, как описанно в https://www.FreeBSD.org/handbook/makeworld.html.

Перезапустите всех демонов, которые используют эту библиотеку, или перезагрузите систему.

VI. Сведения об исправлении

Список ниже содержит номера ревизий каждой из уязвимых ветвей FreeBSD.

Ветвь                                                             Ревизия
- -------------------------------------------------------------------------
stable/10/                                                        r320907
releng/10.3/                                                      r320915
stable/11/                                                        r320907
releng/11.0/                                                      r320911
releng/11.1/                                                      r320910
- -------------------------------------------------------------------------

Чтобы узнать, какие файлы были изменены в конкретной ревизии, запустите на машине с установленным Subversion указанную ниже команду, заменив NNNNNN на номер ревизии.

# svn diff -cNNNNNN --summarize svn://svn.freebsd.org/base

Или посетите следующий URL, заменив NNNNNN на номер ревизии:

URL: https://svnweb.freebsd.org/base?view=revision&revision=NNNNNN

Оставить комментарий