После обнаружения двух слабых звеньев в бесплатной технологии аутентификации сигналы об опасности поступают, кажется, отовсюду, кроме Редмонда. Серьезные пробелы в защите популярной технологии сетевой аутентификации ставят под угрозу множество программных продуктов. Они позволяют злоумышленникам вывести из строя приложения или проникнуть в компьютеры, использующие спецификацию Kerberos, разработанную в Массачусетсском технологическом институте. В двух предупреждениях, распространенных во вторник, MIT оценивает обе уязвимости как «критические». Университет предложил поправки для устранения проблем и утверждает, что злоумышленникам «должно быть трудно» воспользоваться этими ошибками. Несколько производителей ПО уже выпустили обновления к своим продуктам. Так, Red Hat, Turbolinux и Gentoo предложили патчи для собственных версий Linux. Sun во вторник разослала два предупреждения, в которых признает, что несколько версий Solaris уязвимы, но патчей пока не предложила. В силу широкой популярности Kerberos, в ближайшее время, вероятно, и другие производители выпустят секьюрити-бюллетени, полагает Брайан Грейк, главный технолог компании Preventsys, специализирующейся на анализе уязвимостей: «Думаю, что мы увидим целый поток патчей». Microsoft тоже использует Kerberos, но собственную версию, на которую эти ошибки не влияют. По данным MIT, оба бага относятся к Kerberos 5 Release 1.4.1, а также более ранним версиям ПО. Независимая компания по секьюрити-мониторингу Secunia оценивает проблемы как «высококритичные» — это второй наиболее серьезный уровень опасности по ее шкале. FrSIRT оценивает баги как «критичные» по самому высокому уровню. Грейк согласен, что уязвимости серьезны, но отмечает, что использовать их для атак нелегко. «Требуется очень много знаний, чтобы превратить эти уязвимости в эксплойты», — сказал он.
Подробности