RNP > Serviços > Segurança em redes > Alertas do CAIS

Vulnerabilidades no Kerberos

Microsoft Security Bulletin MS05-042

[CAIS, 10.08.2005-11:59, revisão 01]

O CAIS está repassando o alerta da Microsoft, intitulado "MS05-042 - Vulnerabilities in Kerberos Could Allow Denial of Service, Information Disclosure, and Spoofing (899587)", que trata de uma vulnerabilidade de negação de serviço no Kerberos e de exposição e falsificação de informações envolvendo o protocolo PKINIT.

A vulnerabilidade envolvendo o Kerberos é causada devido a maneira como controladores de domínio processam mensagens do Kerberos. Uma vulnerabilidade de negação de serviços existe caso um atacante envie uma mensagem especialmente montada para o controlador de domínios Windows, podendo fazer com que o serviço de autenticação de usuários em um domínio do Active Directory pare de responder.

O Kerberos permite a autenticação segura de usuáios, e é utilizado como o protocolo de autenticação padrão do Windows 2000 e subsequentes.

A vulnerabilidade de divulgação e falsificação de informações pode permitir a um atacante forjar certos tipos de informações enviadas de um controlador de domínio, e assim potencialmente acessar comunicação privada de clientes, podendo fazer com que usuários acessem um servidor malicioso acreditando que estejam utilizando um servidor confiável.

Uma falha na atual implementação do protocolo PKINIT é a causadora deste problema. O PKINIT é o modelo de Autenticação no Kerberos para Criptografia de Chaves Públicas proposto pela IETF (Internet Engineering Task Force). Veja a sessão "Mais informações" para detalhes sobre o IETF.

Sistemas afetados:

• Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Service Pack 1
• Microsoft Windows XP Service Pack 2
• Microsoft Windows XP Professional x64 Edition
• Microsoft Windows Server 2003
• Microsoft Windows Server 2003 Service Pack 1
• Microsoft Windows Server 2003 para Itanium-based Systems
• Microsoft Windows Server 2003 com SP1 para Itanium-based Systems
• Microsoft Windows Server 2003 x64 Edition

Correções disponíveis:

Recomenda-se fazer a atualização para as versões disponíveis em:

• Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Service Pack 1
• Microsoft Windows XP Service Pack 2
• Microsoft Windows XP Professional x64 Edition
• Microsoft Windows Server 2003
• Microsoft Windows Server 2003 Service Pack 1
• Microsoft Windows Server 2003 para Itanium-based Systems
• Microsoft Windows Server 2003 com SP1 para Itanium-based Systems
• Microsoft Windows Server 2003 x64 Edition

Mais informações:

• MS05-042 - Vulnerabilities in Kerberos Could Allow Denial of Service, Information Disclosure, and Spoofing (899587)
• The Internet Engineering Task Force
• Microsoft Brasil Security
• Technet Brasil - Central de Segurança

Identificador CVE (http://cve.mitre.org): CAN-2005-1981, CAN-2005-1982

O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as útimas versões e correções oferecidas pelos fabricantes.

O CAIS Alerta também é oferecido no formato RSS/RDF:
http://www.rnp.br/cais/alertas/rss.xml

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais