Drei kritische Lücken in Netzwerkauthentifizierung Kerberos

Die Lücken in der Implementierung des MIT ermöglichen einem Angreifer unter anderem aus der Ferne die Kontrolle über ein System zu übernehmen. Patches und Updates beseitigen die Fehler.

In Pocket speichern vorlesen Druckansicht 6 Kommentare lesen
Lesezeit: 1 Min.
Von
  • Daniel Bachfeld

Das MIT hat drei kritische Lücken in seiner Implementierung der Netzwerkauthentifizierungslösung Kerberos v5 gemeldet, die in allen Versionen bis einschließlich 5-1.6 enthalten sind. Da andere Hersteller ebenfalls die Kerberos-Bibliotheken des MIT benutzen, können auch weitere Produkte betroffen sein.

Bis zum Erscheinen einer neuen Kerberos-5-Version sollen Patches die Lücken schließen. Die meisten Linux-Distributoren geben aber bereits eigene fehlerbereinigte Pakete heraus, sodass sich Anwender in vielen Fällen nicht die Mühe der Neuübersetzung des Quellcodes machen müssen.

Über die Lücken kann ein Angreifer unter anderem aus der Ferne die Kontrolle über ein System übernehmen. Zwei der Lücken finden sich im Dienst kadmind beziehungsweise im Key Distribution Center (KDC) und ermöglichen das Einschleusen und Starten von Code als Root. Laut Fehlerbericht des MIT muss ein Angreifer dazu aber bereits authentifiziert sein. Ein Fehler im Telnet-Dienst ermöglicht einem Angreifer darüber hinaus die Anmeldung mit Root-Rechten, in dem er nur einen präparierten Nutzernamen angibt. Der Fehler soll sich sehr einfach ausnutzen lassen, nähere Angaben macht das MIT daher auch nicht. Als Workaround sollten Anwender den Telnet-Dienst abschalten.

Siehe dazu auch:

(dab)