CVE-2023-3326

FreeBSD pam_krb5 – pominięcie uwierzytelnienia przez brak weryfikacji TGT

CVSS 9.8v3.1pub. 2023-06-22upd. 2024-11-21

Moduł pam_krb5 w FreeBSD nie weryfikuje poprawności biletu TGT od serwera KDC, jeśli w systemie nie skonfigurowano pliku keytab. Podatność pozwala atakującemu na zalogowanie się jako dowolny użytkownik systemu bez znajomości jego prawdziwego hasła.

▸ Pokaż oryginał (EN)

pam_krb5 authenticates a user by essentially running kinit with the password, getting a ticket-granting ticket (tgt) from the Kerberos KDC (Key Distribution Center) over the network, as a way to verify the password. However, if a keytab is not provisioned on the system, pam_krb5 has no way to validate the response from the KDC, and essentially trusts the tgt provided over the network as being valid. In a non-default FreeBSD installation that leverages pam_krb5 for authentication and does not have a keytab provisioned, an attacker that is able to control both the password and the KDC responses can return a valid tgt, allowing authentication to occur for any user on the system.

🤖 Analiza AI

Jak działa

pam_krb5 uwierzytelnia użytkownika, pobierając ticket-granting ticket (TGT) z serwera Kerberos KDC za pośrednictwem sieci – jest to sposób weryfikacji poprawności hasła. Gdy w systemie nie ma skonfigurowanego pliku keytab, moduł nie ma możliwości zweryfikowania autentyczności odpowiedzi otrzymanej od KDC i bezwarunkowo ufa dostarczonemu TGT. Atakujący, który kontroluje zarówno wartość hasła przekazywanego podczas logowania, jak i odpowiedzi serwera KDC, może zwrócić sfałszowany, ale formalnie poprawny TGT, co skutkuje pomyślnym uwierzytelnieniem dla dowolnego konta w systemie.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do systemu jako dowolny użytkownik, w tym konta uprzywilejowane, co prowadzi do pełnego przejęcia kontroli nad systemem (naruszenie poufności, integralności i dostępności).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (FreeBSD-SA-23:04.pam_krb5 oraz FreeBSD-SA-23:09.pam_krb5). Jako doraźne obejście należy skonfigurować plik keytab w systemie, aby pam_krb5 mógł weryfikować odpowiedzi KDC, lub zrezygnować z pam_krb5 jako metody uwierzytelnienia do czasu wdrożenia patcha.

Kogo dotyczy

FreeBSD w konfiguracji niestandardowej wykorzystującej pam_krb5 do uwierzytelnienia, w której nie skonfigurowano pliku keytab. Dokładne wersje wskazane w referencjach producenta (FreeBSD-SA-23:04.pam_krb5, FreeBSD-SA-23:09.pam_krb5).

Uwagi

Podatność dotyczy wyłącznie instalacji niestandardowych FreeBSD – domyślna instalacja systemu nie jest narażona, ponieważ pam_krb5 nie jest domyślnie aktywowany. Wydano dwa oddzielne poradniki bezpieczeństwa producenta: FreeBSD-SA-23:04 oraz FreeBSD-SA-23:09.