Le 25 octobre dernier, le Cert a rendu publique une faille de sécurité touchant le protocole Kerberos. Pour mémoire, ce système imaginé par le MIT (Massachusetts Institute of Technology) sécurise l’authentification d’une machine sur un réseau en chiffrant les données nécessaires à son identification. La vulnérabilité du protocole réside dans Kadmind4, un daemon d’administration qui gère les mots de passe et toute autre requête modifiant la base de données. Incapable de contrôler la longueur des chaînes de caractères qui lui sont soumises, ce daemon peut faire l’objet d’une attaque par dépassement de la mémoire tampon (buffer overflow). “L’opération pourrait permettre à son auteur de bénéficier de droits d’administration au niveau racine. Si, grâce à eux, il parvient à prendre le contrôle du Key Distribution Center, la console d’administration centrale du système, c’est tout le domaine d’authentification Kerberos qui serait compromis”, explique Stephan Cohen, consultant pour la société de service en sécurité Kerberos.
Les OS sont touchés
Parmi les mises en oeuvres vulnérables de Kerberos figurent celles du MIT et de KTH (Kungl Tekniska Högskolan) dans leurs versions 4 et 5. Sont aussi touchés les OS qui exploitent, notamment la distribution Linux Red Hat 6.2 et plus, Open BSD3.0 et 3.1, et Mac OS X 10.0. Le Cert conseille d’appliquer la rustine adéquate ou de désactiver Kadmind4 si celui-ci ne se révèle pas nécessaire au bon fonctionnement du système.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
