CVE-2023-3326
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 55 - wyżej niż 55% wszystkich znanych CVE
Streszczenie
Podatność CVE-2023-3326 dotyczy modułu pam_krb5, który uwierzytelnia użytkowników poprzez uruchomienie kinit z hasłem. W przypadku braku keytab na systemie, moduł ten ufa odpowiedziom z KDC, co może prowadzić do nieautoryzowanego dostępu.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do systemu, jeśli atakujący ma kontrolę nad hasłem oraz odpowiedziami KDC. Może to prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się skonfigurowanie keytab na systemie oraz monitorowanie odpowiedzi z KDC, aby zminimalizować ryzyko nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
pam_krb5 authenticates a user by essentially running kinit with the password, getting a ticket-granting ticket (tgt) from the Kerberos KDC (Key Distribution Center) over the network, as a way to verify the password. However, if a keytab is not provisioned on the system, pam_krb5 has no way to validate the response from the KDC, and essentially trusts the tgt provided over the network as being valid. In a non-default FreeBSD installation that leverages pam_krb5 for authentication and does not have a keytab provisioned, an attacker that is able to control both the password and the KDC responses can return a valid tgt, allowing authentication to occur for any user on the system.