Alert GCSA-07007 - Vulnerabilita' in MIT Kerberos

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


******************************************************************

     Alert ID : GCSA-07007
         Data : 15 Gennaio 2007
       Titolo : Vulnerabilita' in MIT Kerberos

******************************************************************


:: Descrizione del problema:

    Sono state individuate due vulnerabilita' in MIT Kerberos
    che potrebbero consentire ad un aggressore remoto di eseguire
    codice arbitrario, senza autenticazione.

    CVE-2006-6143 (RPC library) Kerberos administration daemon fails
    to properly initialize function pointers.
      Questo difetto puo' essere sfruttato inviando uno speciale
      pacchetto Kerberos creato ad hoc.

    CVE-2006-6144 (GSS-API interface) Kerberos administration daemon
    may free uninitialized pointers.
      Difetto nella gestione della memoria.


:: Software interessato:

    MIT Kerberos 5 1.5.1 e precedenti

    Altri prodotti basati sulle GSS-API o sulle librerie RPC,
    fornite con MIT Kerberos, potrebbero essere vulnerabili.

    MandrakeSoft Linux Mandrake 2007.0
    SuSE Linux 10.1
    Fedora Core 6
    Sun Solaris 10.0


:: Impatto:

    Esecuzione di codice arbitrario
    Denial of Service


:: Soluzioni:

    Per risolvere i bug citati sono state create delle patch
    disponibili negli advisory elencati nei riferimenti.


:: Riferimenti:

    MIT krb5 Security Advisory
    http://web.mit.edu/kerberos/www/advisories/MITKRB5-SA-2006-002-rpc.txt
    http://web.mit.edu/kerberos/www/advisories/MITKRB5-SA-2006-003-mechglue.txt

    Mitre's CVE ID:
    http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-6143
    http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-6144

    SecurityFocus Bugtraq ID:
    http://www.securityfocus.com/bid/21970

    US-CERT Vulnerability Note
    http://www.kb.cert.org/vuls/id/481564
    http://www.kb.cert.org/vuls/id/831452

    Fedora Core 6 Update
    http://fedoranews.org/cms/node/2375

    OpenPKG Project
    http://www.openpkg.com/security/advisories/OpenPKG-SA-2007.006.html

    Sun Microsystems
    http://sunsolve.sun.com/search/document.do?assetkey=1-26-102772-1&searchclause=

-----BEGIN PGP SIGNATURE-----

iQCVAwUBRatWEfOB+SpikaiRAQIzEQP9EDrB9QuK3x3vsnqgqXxjAtv7uqAuugCx
kon+9Lx6E6SGSbFBhLydrXFQ7IvlWT+hdE0h3z47Ba472fM9itYxDUQ0D+eYjZe/
5IQIB+XeDM5oEm8W3qnOPrLK+Ya0dZQX4LVYfecs2nQQ9/KB4FfTMzIJWEoI+NQa
hIVFia6XDGw=
=FDXS
-----END PGP SIGNATURE-----