Revista Digital GRIS Edição Abril de 2008 - Sobre o GRIS - UFRJ

Múltiplas Vulnerabilidades no Kerberos
Nível: Alto Risco CVE ID's: 2008-0062 | 2008-0063
2008-0947 | 2008-0948
Publicada em: 19/03/2008 Fonte: Secunia
Algumas vulnerabilidades foram reportadas no Kerberos, que podem ser exploradas por
usuários maliciosos com a intenção de obter informações sensíveis, causar um estado de Negação
de Serviço ou comprometer um sistema vulnerável.
Detalhes:
Para entender melhor:
- Kerberos: É um protocolo de transporte de rede, que permite comunicações individuais seguras e
identificadas, em uma rede insegura. Para isso o Massachusetts Institute of Technology (MIT)
disponibiliza um pacote de aplicativos que implementam esse protocolo.
- KDC: Em sistemas de criptografia, um Centro de Distribuição de chaves (Key Distribuition
Center) tem o objetivo de reduzir os riscos inerentes no processo de troca de chaves entre os
participantes.
- Krb4: Versão 4 do protocolo Kerberos.
- RPC: A Chamada de Procedimento Remoto (Remote Procedure Call) é o tipo de protocolo para
chamada remota de procedimentos em qualquer lugar da rede ou uma chamada de função para o
método de transferência de controle de parte de um processo para outra, permite a divisão de um
software em várias partes, compartilhamento de arquivos e diretórios.
- Ataque de negação de serviço: Também conhecido como Denial of Service (DoS), trata-se de um
ataque que visa tornar os recursos de um sistema indisponíveis para seus utilizadores, através da
sobrecarga dos recursos deste sistema (memória, processamento, etc.), de forma a força-lo a
reinicializar ou impedi-lo de dispor de recursos para fornecer seus serviços. O ataque não se
qualifica como uma invasão, mas sim como uma invalidação por sobrecarga.
A primeira falha ocorre porque o KDC utiliza apenas uma variável global para todas as
requisições krb4 que estão sendo recebidas, porem define esta variável somente para algumas