[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
Re: NetBSD Security Advisory 2003-006: Cryptographic weaknesses inKerberos v4 protocol
- Subject: Re: NetBSD Security Advisory 2003-006: Cryptographic weaknesses inKerberos v4 protocol
- From: Yuji Yamano <yyamano@kt.rim.or.jp>
- To: announce-ja@jp.netbsd.org, netbsd@re.soum.co.jp
- Date: Mon, 14 Apr 2003 03:14:00 +0900 (JST)
- Message-Id: <20030414.031400.98965825.yyamano@kt.rim.or.jp>
- In-Reply-To: <20030404164411.GG22049@vex>
- References: <20030404164411.GG22049@vex>
- Delivered-To: mailing list announce-ja@jp.netbsd.org
- Delivered-To: moderator for announce-ja@jp.netbsd.org
- Mailing-List: contact announce-ja-help@jp.netbsd.org; run by ezmlm-idx
NetBSD セキュリティー勧告 日本語訳
=============================================================================
NetBSD Security Advisory 2003-006 (2003/04/04)
* Cryptographic weaknesses in Kerberos v4 protocol
=============================================================================
このメールは, netbsd-announce に流れた
Subject: NetBSD Security Advisory 2003-006: Cryptographic weaknesses in Kerberos v4 protocol
From: NetBSD Security Officer <security-officer@netbsd.org>
Date: Fri, 4 Apr 2003 11:43:44 -0500
Message-Id: <20030404164344.GE22049@vex>
を、www.NetBSD.ORG 翻訳プロジェクトが日本語訳したものです
(日本語訳は NetBSD-SA2003-006.txt,v 1.7 に基づいています)。
原文は PGP 署名されていますが、この日本語訳は PGP 署名されていません。
修正パッチ等の内容が改ざんされていないことを確認するために PGP 署名の
チェックを行なうには。原文を参照してください。
------------------------------- ここから ------------------------------------
NetBSD Security Advisory 2003-006
=================================
トピック: Kerberos v4 プロトコルにおける暗号の弱点
(Cryptographic weaknesses in Kerberos v4 protocol)
バージョン: NetBSD-current: 2003 年 3 月 20 日より前のソース
NetBSD 1.6: 影響あり
NetBSD-1.5.3: 影響あり
NetBSD-1.5.2: 影響あり
NetBSD-1.5.1: 影響あり
NetBSD-1.5: 影響あり
pkgsrc: kth-krb4-1.2.1 より前のものおよび、
heimdal-0.5.1 より前のものは影響あり
影響範囲: Kerberos 4 ネットワークのすべてのユーザーの権限が
不正に使用される可能性がある。
(Every user on a Kerberos 4 network can be compromised)
修正日: NetBSD-current: 2003 年 3 月 20 日
NetBSD-1.6 branch: 2003 年 3 月 22 日 (1.6.1 は修正ずみ)
NetBSD-1.5 branch: 2003 年 4 月 1 日
pkgsrc: kth-krb4-1.2.2 および、
heimdal-0.5.2 で修正。
概要 - Abstract
===============
Kerberos プロトコルのバージョン 4 の暗号には、選択平文攻撃
(chosen-plaintext attack) によって、攻撃者がレルム (realm) に
あるすべてのプリンシパル (principal) になりすますことができるという弱点が
存在します。この攻撃を利用すると、そのサイトの Kerberos
認証システムの機能を完全に無力化することが可能です。
Kerberos バージョン 5 には、この暗号の弱点は含まれていません。
Kerberos バージョン 4 の機能を完全に無効にしているサイトには、
影響はありません。Kerberos バージョン 4 の機能とは、krb5 における
krb4 互換機能なども含まれます。
技術的な詳細 - Technical Details
================================
攻撃者は krb4 共有クロスレルム鍵を使い、リモートのレルムに存在する
あらゆるサービスに対するすべてのプリンシパルを詐称することが可能です。
これにより KDC の root 権限が不正使用されるだけでなく、
その KDC が提供している認証機能に依存する、すべてのホストが不正に
使用される可能性があります。
この攻撃はクロスレルムプリンシパルに対して実行される可能性もあります。
つまり、攻撃者は複数のレルム間を経由することができ、攻撃者の
ローカルレルムとクロスレルム鍵を共有する、すべてのレルムが
攻撃の脅威にさらされるということです。
また、実現はかなり困難ですが、共有クロスレルム鍵を利用しない攻撃も
考えられます。攻撃者からは少なくとも、攻撃対象のレルムに存在する
任意のプリンシパル名に対する攻撃を行なうことが可能です。
ある未発表の論文には、krb4 プロトコルに詳しい攻撃者であれば、
悪用方法を実装することが簡単にできる程度に、この弱点の詳細が
書かれています。ただし、この勧告の公開時点では、まだ具体的な
悪用方法は広く知られていません。
これらは「プロトコル上の」弱点です。修正を行なうと、本来の
プロトコルが持っている機能に一定の制限が加わります。
修正は KDC となっているマシンで行なう必要があります。サーバー上で
バージョン 4 の機能が無効になっていれば、クライアント側に
修正パッチを適用する必要はありません。
回避方法と解決策 - Solutions and Workarounds
============================================
新しいバージョンにアップグレードすることができなければ、
クロスレルム機能をすべて無効にし、クロスレルム鍵を削除するかランダム化
してください。
``kinit --version'' を実行すると、システムに弱点が存在するかどうか
調べることができます。
current:
kinit (Heimdal 0.5nb2, KTH-KRB 1.2)
Copyright (c) 1999-2002 Kungliga Tekniska H��skolan
Send bug-reports to heimdal-bugs@pdc.kth.se
と表示されていれば、今回の問題はありません。
次に示す手順は、ソースツリーを更新して再構築し、新しいバージョンの
Heimdal をインストールすることで、問題のあるバイナリーをアップグレード
する方法を説明したものです。
* NetBSD-current:
2003 年 3 月 20 日より前の NetBSD-current は、
2003 年 3 月 21 日、もしくはそれ以降の NetBSD-current に
アップグレードする必要があります。
CVS ブランチ netbsd-current (別名 HEAD) において
更新が必要なディレクトリは、次のとおりです。
crypto/dist/heimdal/kdc
include/heimdal
CVS を使ってファイルを更新し、KDC バイナリーを
再構築・再インストールするには、次のコマンドを実行してください。
# cd src
# cvs update -d -P crypto/dist/heimdal/kdc include/heimdal
# cd usr.sbin/kdc
# make USETOOLS=no cleandir dependall
# make USETOOLS=no install
* NetBSD 1.6:
NetBSD 1.6 のバイナリー配布物には、このセキュリティー上の弱点が
含まれています。
2003 年 3 月 22 日より前の NetBSD 1.6 のソースは、
2003 年 3 月 23 日、もしくはそれ以降の NetBSD 1.6 のソースに
アップグレードする必要があります。
NetBSD 1.6.1 には、この弱点に対する修正が含まれる予定です。
CVS ブランチ netbsd-1-6 において
更新が必要なファイルは、次のとおりです。
crypto/dist/heimdal/kdc
include/heimdal
CVS を使ってファイルを更新し、KDC バイナリーを
再構築・再インストールするには、次のコマンドを実行してください。
# cd src
# cvs update -d -P -r netbsd-1-6 crypto/dist/heimdal/kdc \
include/heimdal
# cd usr.sbin/kdc
# make USETOOLS=no cleandir dependall
# make USETOOLS=no install
* NetBSD 1.5, 1.5.1, 1.5.2, 1.5.3:
NetBSD 1.5.3 のバイナリー配布物には、このセキュリティー上の弱点が
含まれています。
2003 年 3 月 31 日より前の NetBSD-1.5、NetBSD-1.5.1、
NetBSD-1.5.2、NetBSD-1.5.3 のいずれかのソースを
使っているシステムは、2003 年 4 月 1 日、もしくはそれ以降の
NetBSD-1.5.* のソースにアップグレードする必要があります。
CVS ブランチ netbsd-1-5 において
更新が必要なファイルは、次のとおりです。
crypto/dist/heimdal/kdc
include/heimdal
CVS を使ってファイルを更新し、KDC バイナリーを
再構築・再インストールするには、次のコマンドを実行してください。
# cd src
# cvs update -d -P -r netbsd-1-5 crypto/dist/heimdal/kdc \
include/heimdal
# cd crypto/dist/heimdal/kdc
# make cleandir dependall
# make install
謝辞 - Thanks To
================
Sam Hartman および Tom Yu 氏: 最初に問題を指摘し、この勧告の原案を
提供してくれました。
Steve Bellovin 氏: MIT の人たちが弱点を発見するきっかけとなった情報を
提供してくれました。
Love Hornquist-Astrand 氏: 情報交換の手配をしてくれました。
Josef T. Burger 氏: 構築手順の修正を指摘してくれました。
改訂履歴 - Revision History
===========================
2003-04-04 初版公開
2003-04-04 構築手順の `cd' の部分を修正
詳細と参考資料 - More Information
=================================
新しい情報が判明した場合、セキュリティー勧告は更新されることがあります。
PGP 署名されたこの勧告の最新版は、次の場所から入手できます。
ftp://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2003-006.txt.asc
NetBSD および NetBSD のセキュリティーに関する情報は、次の場所から入手できます。
http://www.NetBSD.ORG/
http://www.NetBSD.ORG/Security/
Copyright 2003, The NetBSD Foundation, Inc. All Rights Reserved.
Redistribution permitted only in full, unmodified form.
$NetBSD: NetBSD-SA2003-006.txt,v 1.7 2003/04/04 17:56:28 david Exp $