Vulnérabilité dans le protocole d'authentification MIT Kerberos 5

Date de publication :

CVE-2021-36222 [Score CVSS v3 : 7.5 ]
Une vulnérabilité a été corrigée au sein de la fonction ec_verify dans le fichier kdc/kdc_preauth_ec.c du Centre de distribution de clés (KDC) de MIT Kerberos 5 (alias krb5). Cette faille est due à une mauvaise gestion d’une valeur de retour dans certains cas de figure. Son exploitation peut permettre à un attaquant distant et non authentifié de provoquer une déréférence de pointeur NULL conduisant à un déni de service.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Déni de service

Criticité

  • Score CVSS v3 : 7.5

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement à l’heure actuelle.

Composants vulnérables

  • krb5 versions antérieures à 1.18.4
  • krb5 versions antérieures à 1.19.2

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

Mettre à jour krb5 vers une des versions suivantes :

  • 1.18.4 ou ultérieure
  • 1.19.2 ou ultérieure

Solution de contournement

  • Aucune solution de contournement n’est disponible publiquement à l’heure actuelle.

Liens