MIT Kerberos 5 Güvenlik Açıkları CVE-2024-37371 ve CVE-2024-37370
29 Haziran 2024
Kerberos ağ kimlik doğrulama protokolünün yaygın olarak kullanılan açık kaynaklı bir uygulaması olan MIT Kerberos 5'in (krb5), saldırganların Kerberos kimlik doğrulamasına dayanan sistemlerin güvenliğini tehlikeye atmalarına olanak tanıyabilecek iki kritik güvenlik açığı içerdiği 28 Haziran 2024 tarihinde yayınlandı.
CVE-2024-37371: GSS Mesaj Belirteci İşlemede Geçersiz Bellek Okumaları
CVE-2024-37371, 1.21.3'ten önceki krb5 sürümlerini etkiler ve bir saldırganın GSS (Genel Güvenlik Hizmetleri) ileti belirteçlerinin işlenmesi sırasında geçersiz bellek okumalarına neden olmasına olanak tanır. Geçersiz uzunluk alanlarına sahip ileti belirteçleri göndererek, bir saldırgan bu güvenlik açığını tetikleyebilir ve potansiyel olarak hizmet reddi veya diğer güvenlik sorunlarına yol açabilir.
Bu güvenlik açığı, 21 Haziran 2024'te yayımlanan krb5 1.21.3 sürümünde keşfedildi ve yaması uygulandı. Kullanıcıların, bu güvenlik açığını azaltmak için krb5'in en son sürümüne güncelleme yapmaları önemle tavsiye edilir..
CVE-2024-37370: Gizli GSS krb5 Sarma Tokenlarının Kesilmesi
CVE-2024-37370, 1.21.3'ten önceki krb5 sürümlerinde bir saldırganın gizli bir GSS krb5 sarma belirtecinin düz metin Ekstra Sayım alanını değiştirmesine izin veren başka bir güvenlik açığıdır. Bu değişiklik, sarılmamış belirtecin uygulamaya göre kesilmiş gibi görünmesine neden olabilir ve bu da potansiyel olarak bilgi ifşasına veya diğer güvenlik sorunlarına yol açabilir.
CVE-2024-37371 gibi bu güvenlik açığı da krb5 sürüm 1.21.3'te keşfedildi.
Düzenli Güvenlik Açığı İzlemenin Önemi
MIT Kerberos 5, uzaktan kod yürütme ve hizmet reddi güvenlik açıkları da dahil olmak üzere yıllar içinde keşfedilen birçok kritik sorunla birlikte güvenlik açıklarıyla dolu bir geçmişe sahiptir.MIT Kerberos 5'teki yeni güvenlik açıklarını izlemek için kullanıcılar düzenli olarak MIT Kerberos Güvenlik Danışma Bildirimleri sayfasını kontrol etmelidirve CVE Ayrıntıları gibi güvenlik açığı veritabanlarıve CISA uyarıları. Güvenlik yayınlarına abone olmak aynı zamanda Kerberos'taki en son güvenlik açıklarından haberdar olmanıza da yardımcı olabilir.
Sonuç olarak, CVE-2024-37371 ve CVE-2024-37370, MIT Kerberos 5'te bulunan ve saldırganların Kerberos kimlik doğrulamasına dayanan sistemlerin güvenliğini tehlikeye atmasına olanak tanıyan iki kritik güvenlik açığıdır.