重要（Important）：krb5のセキュリティアップデート

2つのセキュリティ欠陥を修正したkrb5のアップデートパッケージがRed Hat Enterprise Linux 5で利用可能になりました。

このアップデートは、レッドハットセキュリティ対策チームによって、深刻度「重要（Important）」のセキュリティ問題と評価されています。

Kerberosは、対称暗号化とトラステッドサードパーティ（KDC）を使用して、クライアントとサーバの相互認証を可能にするネットワーク認証システムです。kadmindは、KADM5管理サーバです。

Tenable Network Securityが、kadmindにより使用されるRPCライブラリでスタックバッファオーバーフローの欠陥を発見しました。kadmindにアクセスできる未認証のリモート攻撃者が、この欠陥を悪用してkadmindをクラッシュさせる可能性があります。Red Hat Enterprise Linux 5では、FORTIFY_SOURCEによってオーバーフローがブロックされるため、この欠陥を悪用して任意のコードを実行することはできません。（CVE-2007-3999）

Garrett Wollman氏が、kadmindで初期化されないポインタの欠陥を発見しました。 kadmindにアクセスできる未認証のリモート攻撃者が、この欠陥を悪用してkadmindをクラッシュさせる可能性があります。（CVE-2007-4000）

これらの問題は、Red Hat Enterprise Linux 2.1、3、または4に付属したKerberosのバージョンには影響しません。

krb5-serverのユーザは、これらの問題を修正するバックポート修正を含む上記エラータパッケージにアップデートしてください。

このアップデートを適用する前に、ご使用のシステムに関係するリリース済みのエラータ/Errataがすべて適用されていることを確認してください。

このアップデートは、Red Hat Networkを通じて入手できます。

250973 - CVE-2007-3999 krb5 RPC library buffer overflow
250976 - CVE-2007-4000 krb5 kadmind uninitialized pointer

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3999
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4000
http://www.redhat.com/security/updates/classification/#important