В модуле PAM pam_krb5 обнаружена проблема безопасности, позволяющая удалённому атакующему определить по сообщению об ошибке, существует ли в системе пользователь с данным именем и осуществить атаку с перебором паролей по словарю. Уязвимы все версии pam_krb5 >= 2.2.14 Информация о наличии исправления пока отсутствует.
Есть три основных ветки pam_krb5: 1) Старая: http://sourceforge.net/projects/pam-krb5/ 2) От Федоры: https://fedorahosted.org/pam_krb5/ 3) От Дебиана: http://www.eyrie.org/~eagle/software/pam-krb5/ Наша, с недавних пор основана на дебиановкий ветке, ибо федорина глюкалово ещё то... Поскольку кодовая база у них совсем разная, баги друг к другу у них не подходят... Тем не менее вопрос с pam_krb5 в бранчах нужно решать.. Дело в том, что в новом pam_krb5 появились некоторые особенности, которые пока изучаю. Тупо обновлять в бранчах очень старый релиз pam_krb5 взятый до меня ещё ищё из пятой федоры, до последнего из той же федоры я бы не стал... Там куча регрессий, вообще не понимаю как они его используют... Видимо, только в общих случаях... Я давно планирую обновить pam_krb5 в бранчах так что пожелания и желающие потестировать приветствуются...
Да, кстати, нашим бранчам также повезло, как и RH: https://bugzilla.redhat.com/show_bug.cgi?id=502602#c4 У нас pam_krb5-2.2.9-alt1.i586.rpm так что беспокоится вообще не о чем...
ок. спасибо за разъяснение. почему-то на SF (http://www.securityfocus.com/bid/35112) сослались именно на pam-krb5 Russ Allbery.
