MIT Kerberos 5 Güvenlik Açıkları CVE-2024-37371 ve CVE-2024-37370

29 Haziran 2024

Kerberos ağ kimlik doğrulama protokolünün yaygın olarak kullanılan açık kaynaklı bir uygulaması olan MIT Kerberos 5'in (krb5), saldırganların Kerberos kimlik doğrulamasına dayanan sistemlerin güvenliğini tehlikeye atmasına olanak tanıyabilecek iki kritik güvenlik açığı içerdiği yakın zamanda tespit edildi. (28 Haziran 2024)

 CVE-2024-37371: GSS Mesaj Belirteci İşlemede Geçersiz Bellek Okumaları

CVE-2024-37371, 1.21.3'ten önceki krb5 sürümlerini etkiler ve bir saldırganın GSS (Genel Güvenlik Hizmetleri) ileti belirteçlerinin işlenmesi sırasında geçersiz bellek okumalarına neden olmasına olanak tanır. Geçersiz uzunluk alanlarına sahip ileti belirteçleri göndererek, bir saldırgan bu güvenlik açığını tetikleyebilir ve potansiyel olarak hizmet reddi veya diğer güvenlik sorunlarına yol açabilir.

Bu güvenlik açığı 21 Haziran 2024'te yayınlanan krb5 1.21.3 sürümünde keşfedildi ve düzeltildi. 

 CVE-2024-37370: Gizli GSS krb5 Wrap Token'larının Kesilmesi

CVE-2024-37370, 1.21.3'ten önceki krb5 sürümlerinde bir saldırganın gizli bir GSS krb5 sarma belirtecinin düz metin Ekstra Sayım alanını değiştirmesine izin veren başka bir güvenlik açığıdır. Bu değişiklik, sarılmamış belirtecin uygulamaya kesilmiş gibi görünmesine neden olabilir ve bu da potansiyel olarak bilgi ifşasına veya diğer güvenlik sorunlarına yol açabilir.

CVE-2024-37371 gibi bu güvenlik açığı da krb5 1.21.3 sürümünde keşfedilmiş ve düzeltilmiştir. 

 Düzenli Güvenlik Açığı İzlemenin Önemi

MIT Kerberos 5, yıllar içinde keşfedilen uzaktan kod yürütme ve hizmet reddi güvenlik açıkları gibi birkaç kritik sorunla birlikte güvenlik açıkları geçmişine sahiptir. MIT Kerberos 5'teki yeni güvenlik açıklarını izlemek için kullanıcılar düzenli olarak MIT Kerberos Güvenlik Danışma Bildirimleri sayfasını[2] ve CVE Ayrıntıları ve CISA uyarıları gibi güvenlik açığı veritabanlarını kontrol etmelidir. Güvenlik beslemelerine abone olmak da en son Kerberos güvenlik açıkları konusunda güncel kalmanıza yardımcı olabilir.

Sonuç olarak,  CVE-2024-37371 ve CVE-2024-37370, saldırganların Kerberos kimlik doğrulamasına dayanan sistemlerin güvenliğini tehlikeye atmalarına olanak tanıyabilecek MIT Kerberos 5'teki iki kritik güvenlik açığıdır.