После обнаружения двух слабых звеньев в бесплатной технологии аутентификации сигналы об опасности поступают, кажется, отовсюду, кроме Редмонда.
Серьезные пробелы в защите популярной технологии сетевой аутентификации ставят под угрозу множество программных продуктов. Они позволяют злоумышленникам
ывести из строя приложения или проникнуть в компьютеры, использующие спецификацию Kerberos, разработанную в Массачусетсском технологическом институте.
В двух предупреждениях, распространенных во вторник, MIT оценивает обе уязвимости как “критические”. Университет предложил поправки для устранения проблем и утверждает, что злоумышленникам “должно быть трудно” воспользоваться этими ошибками.
Несколько производителей ПО уже выпустили обновления к своим продуктам. Так, Red Hat, Turbolinux и Gentoo предложили патчи для собственных версий Linux. Sun во вторник разослала два предупреждения, в которых признает, что несколько версий Solaris уязвимы, но патчей пока не предложила.
В силу широкой популярности Kerberos, в ближайшее время, вероятно, и другие производители выпустят секьюрити-бюллетени, полагает Брайан Грейк, главный технолог компании Preventsys, специализирующейся на анализе уязвимостей: “Думаю, что мы увидим целый поток патчей”.
Microsoft тоже использует Kerberos, но собственную версию, на которую эти ошибки не влияют.
По данным MIT, оба бага относятся к Kerberos 5 Release 1.4.1, а также более ранним версиям ПО.
Независимая компания по секьюрити-мониторингу Secunia оценивает проблемы как “высококритичные” – это второй наиболее серьезный уровень опасности по ее шкале. FrSIRT оценивает баги как “критичные” по самому высокому уровню.
Грейк согласен, что уязвимости серьезны, но отмечает, что использовать их для атак нелегко. “Требуется очень много знаний, чтобы превратить эти уязвимости в эксплойты”, – сказал он.
Это не первый пробел в защите Kerberos. В августе прошлого года тоже был обнаружен и исправлен “критический” баг.
В начале этого месяца уязвимость другого широко используемого программного компонента поставила под угрозу некоторые из тех же продуктов. Этот баг относится к zlib, технологии компрессии данных open source. Воспользовавшись специально составленным файлом, атакующий мог получить контроль над компьютером или вывести из строя приложения, использующие zlib.