Alert GCSA-10032 - Vulnerabilita' in MIT Kerberos

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


******************************************************************

      Alert ID : GCSA-10032
          Data : 24 Marzo 2010
        Titolo : Vulnerabilita' in MIT Kerberos

******************************************************************


:: Descrizione del problema:

E' stata riscontrata una vulnerabilita' in Kerberos che potrebbe essere 
sfruttata da un attaccante per provocare un Denial of Service (DoS). Questa 
vulnerabilita' e' dovuta ad un errore nella funzione 
"spnego_gss_accept_sec_context()" in src/lib/gssapi/spnego/spnego_mech.c 
durante la ricezione di un pacchetto non valido, e potrebbe essere sfruttata 
per arrestare un'applicazione che utilizza la libreria inviando un pacchetto 
appositamente predisposto.


:: Software interessato:

MIT Kerberos versione krb5-1.7 e successive, precedenti la 1.7.2 e la 1.8.1


:: Impatto:

Denial of Service


:: Soluzioni:

Applicare le patch

http://web.mit.edu/kerberos/advisories/2010-002-patch.txt
http://web.mit.edu/kerberos/advisories/2010-002-patch.txt.asc

O aggiornare alle versioni krb5-1.7.2 o krb5-1.8.1.


:: Riferimenti:

MIT krb5 Security Advisory 2010-002:
http://web.mit.edu/kerberos/www/advisories/MITKRB5-SA-2010-002.txt

Secunia:
http://secunia.com/advisories/39010/

VuPen:
http://www.vupen.com/english/advisories/2010/0693

Mitre's CVE ID:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0628

-----BEGIN PGP SIGNATURE-----

iQCVAwUBS6ofbPOB+SpikaiRAQLYCQP9FAEdtAqxJ8GcggusHrqf0ttpe1lUUqCw
Mj3L2l0yElmQM7YFMvObJHIccAp9e4foKD+w9Bocb0RVsLSX1iS51FJC3dLQdfdg
MueCum0u6E2oNJGh+PvQ1gRarjVpDrmFAo6EuN1Tbu4Q7MQLyY4UdRpAkQ0alLab
N/PPc4RnIdE=
=g7Bo
-----END PGP SIGNATURE-----