Kerberos on laajasti asiakkaan ja palvelimen välisessä todentamisessa käytetty protokolla. CERT-FI:n mukaan suositusta MIT Kerberos 5 -protokollatoteutuksesta on löytynyt neljä uutta haavoittuvuutta, joista kolme on luokiteltu vakaviksi.
Haavoittuvuudet ovat MIT Kerberos 5 -kirjastossa.
Kolme vakavinta haavoittuvuutta liittyy ohjelmiston varaaman muistialueen vapauttamiseen virheellisesti kahteen kertaan.
Virheellinen muistin vapauttaminen tapahtuu ASN.1 koodauksen purkamisessa tai virheen käsittelyvaiheessa. Näistä kahta haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa omia komentojaan KDC (Key Distribution Center)-järjestelmässä ilman autentikoitumista Kerberosta käyttävään palveluun.
Haavoittuvuudelle ovat alttiita kaikki MIT Kerberos 5 -ohjelman 1.3.5-versiota aikaisemmat versiot, sekä kaikki sovellukset, jotka käyttävät MIT Kerberos 5 -kirjaston versioita ennen versiota 1.3.5. Lisätietoja löytyy muun muassa täältä ja täältä.