Ошибка в реализации Kerberos оставалась незамеченной более 20 лет

Команда экспертов по информационной безопасности из AuriStor, Inc и Two Sigma Investments обнародовала информацию про обнаруженную ими уязвимость в сетевом протоколе аутентификации Kerberos, которая позволяет злоумышленнику полностью обойти процедуры аутентификации. Эта уязвимость получила название Orpheus Lyre ("Лира Орфея") и появилась в большинстве реализации протокола Kerberos еще в далеком 1996 году.

Уязвимость Orpheus Lyre присутствует в реализации протокола Kerberos в операционных системах корпораций Microsoft (в том числе в Службе каталогов Active Directory) и Apple, а также в некоторых дистрибутивах Linux.

Специалисты не раскрывают все технические подробности уязвимости Orpheus Lyre, чтобы дать время администраторам и пользователям на установку обновлений. Корпорация Microsoft уже выпустила соответствующие исправления CVE-2017-8495. Также исправления (CVE-2017-11103) выпустили разработчики Debian, FreeBSD, Fedora, Ubuntu, а также Samba. В RHEL уязвимость Orpheus Lyre обнаружена не была.

Протокол Kerberos использует для аутентификации пользователя в конкретном сервисе краткосрочные tickets доверенного центра распространения ключей (KDC). Во время пересылки по сети не все части tickets шифруются, но реализации протокола Kerberos, как правило, полагаются при прохождении аутентификации на зашифрованные части tickets. Orpheus Lyre при прохождении процедуры аутентификации заставляет Kerberos перейти на использование частей tickets, которые состоят из обычного незашифрованного текста.

Таким образом, злоумышленник совершить атаку Man-in-the-Middle, перехватить и модифицировать текстовую часть tickets для обхода аутентификации. Хотя для осуществления атаки злоумышленник должен сначала проникнуть в сеть, уязвимость Orpheus Lyre была классифицирована как критическая, так как атакующий может повысить свои привилегии и использовать более глубокий доступ к сети. Эксперты отмечают, что пропатчить уязвимость со стороны сервера сложно и это лучше делить со стороны устройства клиента.