更新后的 krb5 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 4.5 Extended Update Support。

Red Hat 安全响应团队将此更新评级为具有严重安全影响。

Kerberos 是一套网络认证系统，允许客户端和服务器通过使用对称加密和受信任的第三方（即 KDC）对彼此进行认证。

在 MIT Kerberos Authentication Service 和 Key Distribution Center 服务器 (krb5kdc) 处理 Kerberos v4 协议数据包的方式中发现一个缺陷。未经认证的远程攻击者可以使用此缺陷让 krb5kdc 后台程序崩溃、泄露其部分内存或者可能使用畸形或截断的 Kerberos v4 协议请求来执行任意代码。（CVE-2008-0062、CVE-2008-0063）

此问题仅影响启用了 Kerberos v4 协议兼容性的 krb5kdc，这是 Red Hat Enterprise Linux 4 上的默认设置。禁用 Kerberos v4 协议支持的方法是将“v4_mode=none”（不包含引号）添加至 /var/kerberos/krb5kdc/kdc.conf 的“[kdcdefaults]”部分。

Red Hat 在此感谢 MIT 报告这些问题。

建议所有 krb5 用户更新这些勘误表程序包，其中包含用于修正这些问题的向后移植的修补程序。

来自 Red Hat 安全公告 2008:0180：

更新后的 krb5 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 4。

Red Hat 安全响应团队将此更新评级为具有严重安全影响。

Kerberos 是一套网络认证系统，允许客户端和服务器通过使用对称加密和受信任的第三方（即 KDC）对彼此进行认证。

在 MIT Kerberos Authentication Service 和 Key Distribution Center 服务器 (krb5kdc) 处理 Kerberos v4 协议数据包的方式中发现一个缺陷。未经认证的远程攻击者可以使用此缺陷让 krb5kdc 后台程序崩溃、泄露其部分内存或者可能使用畸形或截断的 Kerberos v4 协议请求来执行任意代码。（CVE-2008-0062、CVE-2008-0063）

此问题仅影响启用了 Kerberos v4 协议兼容性的 krb5kdc，这是 Red Hat Enterprise Linux 4 上的默认设置。禁用 Kerberos v4 协议支持的方法是将“v4_mode=none”（不包含引号）添加至 /var/kerberos/krb5kdc/kdc.conf 的“[kdcdefaults]”部分。

Red Hat 在此感谢 MIT 报告这些问题。

在 MIT Kerberos 使用的 GSSAPI 库中发现了一个双重释放缺陷。此缺陷可能会导致使用 GSSAPI 库的应用程序崩溃。(CVE-2007-5971)

建议所有 krb5 用户更新这些勘误表程序包，其中包含用于修正这些问题的向后移植的修补程序。

远程iraclelinux 3 主机上存在安装的程序包该程序包受到 AXSA:2008-345:03 公告中提及的多个漏洞的影响。

    Kerberos V5 是受信任的第三方网络身份验证系统，可消除不安全的明文密码做法，从而提高网络的安全性。
    - 添加预备修补程序以修复 KDC 中的未初始化指针的使用/双重释放CVE-2008-0062、CVE-2008-0063]
    - 添加向后移植的修补程序以修复 libgssapi_krb5 中的释放后使用 (CVE-2007-5901)
    - 添加向后移植的修补程序以修复 libgssapi_krb5 中的双重释放 (CVE-2007-5971)
    - 添加预备修补程序以修复对 RPC 库中大号描述符的不正确处理 (CVE-2008-0947)
    - 当封装在 spnego 中时修复委派的 krb5 凭据的存储
    - 返回委派的凭据句柄即使应用程序未传递存储用于指示凭据已委派的标记的位置
    - 添加修补程序以针对 kdc-unreachable、cant-resolve-server 和 response-too-big 错误回退到 TCP kpasswd 服务器
    - 在第一个请求之后为 kpasswd 服务器生成 password-set/change 请求时使用正确的序列号
    - 从 1.6.3 向后移植以与由调用应用程序分配的库分配的 get_init_creds_opt 结构相同的方式初始化库分配的 get_init_creds_opt 结构恢复 kinit 在检测到过期密码时正确执行密码更改的传统行为
    - ftpd当 ftp 客户端使用强认证时也执行 PAM 会话和凭据管理
    - 更新到 的修订修补程序 CVE-2007-3999
    - 修复贴标签时遗漏由 db2 插件创建的文件
    - 使 krb5-workstation 依赖 login.krb5 使用的 PAM 配置文件
    - 修复贴标签时 kadmin 日志文件的遗漏
    - 添加预备修补程序以修复 libgssrpc 的 rpcsec_gss 实现中的缓冲区溢出 (CVE-2007-3999) 并通过 kadmind 中未初始化的指针写入 (CVE-2007-4000)
    - kdc默认也监听 TCP 客户端
    - login在终止权限之后而非之前更改为用户的主目录
    - 关闭 ldap 功能
    - 添加一个修补程序以允许应用程序尝试使用具有 kvno=0 的密钥如果找到则针对请求替换正确的版本
    - 合并针对 MITKRB5-SA-2014-001 的补丁 SA-2007-004（CVE-2007-2442、CVE-2007-2443）和 MITKRB5-SA-2007-005 (CVE-2007-2798)
    - 重新引入 non-split_workstation 案例缺少的 %postun
    - 添加缺失的 pam-devel 构建要求强制 selinux-or-fail 构建
    - 根据 SELinux 策略在创建时标记所有文件
    - 在 krshd 中执行 PAM 帐户/会话管理
    - 在 ftpd 中执行 PAM 认证和帐户/会话管理
    - 执行 PAM 认证、帐户/会话管理和密码- 在 login.krb5 中更改
    - 将 kerberos.ldif 预处理为 FDS 更喜欢的格式并将其也作为 doc 文件包含在内
    - 将手册页切换为中包含正确的路径生成
    - 终止旧的不完整的 SELinux 修补程序
    - 添加 Greg Hudson 提供的修补程序使 srvtab 例程与 keytab 例程在同一时间点报告缺少文件错误
    - 从 svn 拉取修补程序以撤消 ftp 中的意外聊天
    - 从 svn 拉取修补程序以便在几个预期的位置更好地处理空 krb5_get_init_creds_opt 结构
    - 更新到 1.6.1
    - 弃用针对 CVE-2007-0956、CVE-2007-0957、CVE-2007-1216 不再需要的修补程序
    - 终止针对 1.6 中 sendto 缺陷的修补程序，在 1.6.1 中进行修复
    - kadmind.init如果默认主体数据库看起来可能正在使用 kldap 插件则不完全失败
    - kadmind.init在尝试创建 keytab 时尝试提取特定于主机的 kadmin 服务的密钥
    - 从 krb5-config --libs 输出中忽略依存库因为使用共享库不再是静态库会使它们变得多余而且它们不是 libkrb5 接口的一部分剥离 libkeyutils、libresolv、libdl
    - 拉入 keyutils 作为构建要求以获取 KEYRING: ccache 类型因为我们已合并
    - 修复解析来自目录服务器的密钥数据时可造成崩溃的未初始化长度值。
    - 修正 krb5.conf 手册页中的一个拼写错误 (ldap_server->ldap_servers)
    - 将默认的 acl_file、dict_file 和 admin_keytab 设置移动到 default/example kdc.conf 中它们将实际产生影响的部分
    - 添加修补程序以修正通过 krb5-aware telnetdaemon 进行的未授权访问 (CVE-2007-0956)
    - 添加修补程序以修复 krb5kdc 和 kadmind 中的缓冲区溢出CVE-2007-0957
    - 添加修补程序以修复 kadmind 中的双重释放 (CVE-2007-1216)
    - 暂时退出 buildrequires: keyutils-libs-devel
    - 在 keyutils-libs-devel 上将 buildrequires: on keyutils-libs-devel 添加至 enableb

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程MiracleLinux 3 主机上存在安装的程序包该程序包受到 AXSA:2008-153:02 公告中提及的多个漏洞的影响。

    Kerberos V5 是受信任的第三方网络身份验证系统，可消除不安全的明文密码做法，从而提高网络的安全性。
    - 添加预备修补程序以修复 KDC 中的未初始化指针的使用/双重释放CVE-2008-0062、CVE-2008-0063]
    - 添加向后移植的修补程序以修复 libgssapi_krb5 中的释放后使用 (CVE-2007-5901)
    - 添加向后移植的修补程序以修复 libgssapi_krb5 中的双重释放 (CVE-2007-5971)
    - 添加预备修补程序以修复对 RPC 库中大号描述符的不正确处理 (CVE-2008-0947)
    - 当封装在 spnego 中时修复委派的 krb5 凭据的存储
    - 返回委派的凭据句柄即使应用程序未传递存储用于指示凭据已委派的标记的位置
    - 添加修补程序以针对 kdc-unreachable、cant-resolve-server 和 response-too-big 错误回退到 TCP kpasswd 服务器
    - 在第一个请求之后为 kpasswd 服务器生成 password-set/change 请求时使用正确的序列号
    - 从 1.6.3 向后移植以与由调用应用程序分配的库分配的 get_init_creds_opt 结构相同的方式初始化库分配的 get_init_creds_opt 结构恢复 kinit 在检测到过期密码时正确执行密码更改的传统行为
    - ftpd当 ftp 客户端使用强认证时也执行 PAM 会话和凭据管理
    - 更新到 的修订修补程序 CVE-2007-3999
    - 修复贴标签时遗漏由 db2 插件创建的文件
    - 使 krb5-workstation 依赖 login.krb5 使用的 PAM 配置文件
    - 修复贴标签时 kadmin 日志文件的遗漏
    - 添加预备修补程序以修复 libgssrpc 的 rpcsec_gss 实现中的缓冲区溢出 (CVE-2007-3999) 并通过 kadmind 中未初始化的指针写入 (CVE-2007-4000)
    - kdc默认也监听 TCP 客户端
    - login在终止权限之后而非之前更改为用户的主目录
    - 关闭 ldap 功能
    - 添加一个修补程序以允许应用程序尝试使用具有 kvno=0 的密钥如果找到则针对请求替换正确的版本
    - 合并针对 MITKRB5-SA-2014-001 的补丁 SA-2007-004（CVE-2007-2442、CVE-2007-2443）和 MITKRB5-SA-2007-005 (CVE-2007-2798)
    - 重新引入 non-split_workstation 案例缺少的 %postun
    - 添加缺失的 pam-devel 构建要求强制 selinux-or-fail 构建
    - 根据 SELinux 策略在创建时标记所有文件
    - 在 krshd 中执行 PAM 帐户/会话管理
    - 在 ftpd 中执行 PAM 认证和帐户/会话管理
    - 执行 PAM 认证、帐户/会话管理和密码- 在 login.krb5 中更改
    - 将 kerberos.ldif 预处理为 FDS 更喜欢的格式并将其也作为 doc 文件包含在内
    - 将手册页切换为中包含正确的路径生成
    - 终止旧的不完整的 SELinux 修补程序
    - 添加 Greg Hudson 提供的修补程序使 srvtab 例程与 keytab 例程在同一时间点报告缺少文件错误
    - 从 svn 拉取修补程序以撤消 ftp 中的意外聊天
    - 从 svn 拉取修补程序以便在几个预期的位置更好地处理空 krb5_get_init_creds_opt 结构
    - 更新到 1.6.1
    - 弃用针对 CVE-2007-0956、CVE-2007-0957、CVE-2007-1216 不再需要的修补程序
    - 终止针对 1.6 中 sendto 缺陷的修补程序，在 1.6.1 中进行修复
    - kadmind.init如果默认主体数据库看起来可能正在使用 kldap 插件则不完全失败
    - kadmind.init在尝试创建 keytab 时尝试提取特定于主机的 kadmin 服务的密钥
    - 从 krb5-config --libs 输出中忽略依存库因为使用共享库不再是静态库会使它们变得多余而且它们不是 libkrb5 接口的一部分剥离 libkeyutils、libresolv、libdl
    - 拉入 keyutils 作为构建要求以获取 KEYRING: ccache 类型因为我们已合并
    - 修复解析来自目录服务器的密钥数据时可造成崩溃的未初始化长度值。
    - 修正 krb5.conf 手册页中的一个拼写错误 (ldap_server->ldap_servers)
    - 将默认的 acl_file、dict_file 和 admin_keytab 设置移动到 default/example kdc.conf 中它们将实际产生影响的部分
    - 添加修补程序以修正通过 krb5-aware telnetdaemon 进行的未授权访问 (CVE-2007-0956)
    - 添加修补程序以修复 krb5kdc 和 kadmind 中的缓冲区溢出CVE-2007-0957
    - 添加修补程序以修复 kadmind 中的双重释放 (CVE-2007-1216)
    - 暂时退出 buildrequires: keyutils-libs-devel
    - 在 keyutils-libs-devel 上将 buildrequires: on keyutils-libs-devel 添加至 enableb

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Rocky Linux 9.2 主机上安装的多个程序包受到 CIQ ciqsa-2026_0439 公告中提及的多个漏洞影响。

    此公告汇总了 CIQ LTS 9.2中 krb5 SRPM 的安全修复。它解决了 74 个 CVE：
    CVE-2008-0947、 CVE-2016-3120、 CVE-2012-1014、 CVE-2017-15088、 和 CVE-2014-942269 个。

Tenable 已直接从 CIQ 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在 MIT Kerberos Authentication Service 和 Key Distribution Center 服务器 (krb5kdc) 处理 Kerberos v4 协议数据包的方式中发现一个缺陷。未经认证的远程攻击者可以使用此缺陷让 krb5kdc 后台程序崩溃、泄露其部分内存或者可能使用畸形或截断的 Kerberos v4 协议请求来执行任意代码。（CVE-2008-0062、CVE-2008-0063）

此问题仅影响启用了 Kerberos v4 协议兼容性的 krb5kdc，这是 Scientific Linux 4 上的默认设置。禁用 Kerberos v4 协议支持的方法是将“v4_mode=none”（不包含引号）添加至 /var/kerberos/krb5kdc/kdc.conf 的“[kdcdefaults]”部分。

仅 SL 3x：在 MIT Kerberos kadmind 服务器使用的 RPC 库中发现一个缺陷。未经认证的远程攻击者可利用此缺陷造成 kadmind 崩溃。此问题仅影响配置了某些资源限制的系统，不影响使用由 Scientific Linux 3 使用的默认资源限制的系统。(CVE-2008-0948)

仅 SL 4x 和 5x：在由 MIT Kerberos 使用的 GSSAPI 库中发现多种内存管理缺陷。这些缺陷可能会造成使用已释放的内存或尝试释放已释放的内存块（双重释放缺陷），从而可能导致崩溃或任意代码执行。（CVE-2007-5901、CVE-2007-5971）

仅 SL 5x：Secure Endpoints 的 Jeff Altman 在 MIT Kerberos kadmind 服务器使用的 RPC 库中发现一个缺陷。未经认证的远程攻击者可利用此缺陷让 kadmind 崩溃或者可能执行任意代码。此问题仅影响配置了某些资源限制的系统，不影响使用由 Red Hat Enterprise Linux 5 使用的默认资源限制的系统。(CVE-2008-0947)

来自 Red Hat 安全公告 2008:0164：

更新后的 krb5 程序包解决了多个问题并修复了多种缺陷，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队将此更新评级为具有严重安全影响。

Kerberos 是一套网络认证系统，允许客户端和服务器通过使用对称加密和受信任的第三方（即 KDC）对彼此进行认证。

在 MIT Kerberos Authentication Service 和 Key Distribution Center 服务器 (krb5kdc) 处理 Kerberos v4 协议数据包的方式中发现一个缺陷。未经认证的远程攻击者可以使用此缺陷让 krb5kdc 后台程序崩溃、泄露其部分内存或者可能使用畸形或截断的 Kerberos v4 协议请求来执行任意代码。（CVE-2008-0062、CVE-2008-0063）

此问题仅影响启用了 Kerberos v4 协议兼容性的 krb5kdc，这是 Red Hat Enterprise Linux 4 上的默认设置。禁用 Kerberos v4 协议支持的方法是将“v4_mode=none”（不包含引号）添加至 /var/kerberos/krb5kdc/kdc.conf 的“[kdcdefaults]”部分。

Secure Endpoints 的 Jeff Altman 在由 MIT Kerberos kadmind 服务器使用的 RPC 库中发现了一个缺陷。未经认证的远程攻击者可利用此缺陷让 kadmind 崩溃或者可能执行任意代码。此问题仅影响配置了某些资源限制的系统，不影响使用由 Red Hat Enterprise Linux 5 使用的默认资源限制的系统。(CVE-2008-0947)

Red Hat 在此感谢 MIT 报告这些问题。

在由 MIT Kerberos 使用的 GSSAPI 库中发现多种内存管理缺陷。这些缺陷可能会造成使用已释放的内存或尝试释放已释放的内存块（双重释放缺陷），从而可能导致崩溃或任意代码执行。（CVE-2007-5901、CVE-2007-5971）

除了上述已解决的安全问题，我们还修复了以下缺陷：

* SPNEGO 作为 GSSAPI 认证期间的底层机制时未正确存储委派的 krb5 凭据。结果是，尝试将委派的 Kerberos 5 凭据复制到凭据缓存的应用程序接收到“Invalid credential was supplied”消息，而不是委派的凭据的副本。通过此更新，可以正确地搜索 SPNEGO 凭据，允许应用程序以预期方式复制委派的凭据。

* 应用程序可以启动上下文接受（通过 gss_accept_sec_context），而不会传递指示委派了凭据的 ret_flags 值。在这样的情况下应该已返回委派的凭据句柄。此更新后的程序包添加了 temp_ret_flag，在调用 gss_accept_sec_context 的应用程序不传递其他 ret_flags 值的情况下存储凭据状态。

* kpasswd 不会在收到某些错误或数据包对 UDP 而言过大时回退到 TCP。此更新修正此问题。

* libkrb5 密码例程生成 set-password 或 change-password 请求时会为第一个请求之后的所有请求生成错误的序列号。如果主服务器不可用，这会导致密码变更请求失败。此更新后的程序包在构建 AP-REQ 数据之后保存序列号值并在生成请求之前存储该值，从而修正此问题。

* 用户的密码到期时，kinit 不会提示用户更改密码，而只是告知用户其密码已到期。此更新修正此行为：kinit 现在会在密码已到期时提示设置新密码。

建议所有 krb5 用户升级这些更新后的程序包，其中包含用于解决这些漏洞并修复这些缺陷的向后移植的补丁。

来自 Red Hat 安全公告 2008:0181：

更新后的 krb5 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 2.1 和 3。

Red Hat 安全响应团队将此更新评级为具有严重安全影响。

Kerberos 是一套网络认证系统，允许客户端和服务器通过使用对称加密和受信任的第三方（即 KDC）对彼此进行认证。

在 MIT Kerberos Authentication Service 和 Key Distribution Center 服务器 (krb5kdc) 处理 Kerberos v4 协议数据包的方式中发现一个缺陷。未经认证的远程攻击者可以使用此缺陷让 krb5kdc 后台程序崩溃、泄露其部分内存或者可能使用畸形或截断的 Kerberos v4 协议请求来执行任意代码。（CVE-2008-0062、CVE-2008-0063）

此问题仅影响启用了 Kerberos v4 协议兼容性的 krb5kdc，这是 Red Hat Enterprise Linux 4 上的默认设置。禁用 Kerberos v4 协议支持的方法是将“v4_mode=none”（不包含引号）添加至 /var/kerberos/krb5kdc/kdc.conf 的“[kdcdefaults]”部分。

在 MIT Kerberos kadmind 服务器使用的 RPC 库中发现一个缺陷。未经认证的远程攻击者可利用此缺陷造成 kadmind 崩溃。此问题仅影响配置了某些资源限制的系统，不影响使用由 Red Hat Enterprise Linux 2.1 或 3 使用的默认资源限制的系统。(CVE-2008-0948)

Red Hat 在此感谢 MIT 报告这些问题。

建议所有 krb5 用户更新这些勘误表程序包，其中包含用于修正这些问题的向后移植的修补程序。

Rocky Linux 8.6 主机上安装的多个程序包受到 CIQ ciqsa-2026_0067 公告中提及的多个漏洞影响。

    此公告汇总了 CIQ LTS 8.6中 krb5 SRPM 的安全修复。它解决了 72 个 CVE：
    CVE-2008-0947、 CVE-2016-3120、 CVE-2012-1014、 CVE-2017-15088、 和 CVE-2014-942267 个。

Tenable 已直接从 CIQ 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Rocky Linux 9.6 主机上安装的多个程序包受到 CIQ ciqsa-2026_1422 公告中提及的多个漏洞影响。

    此公告汇总了 CIQ LTS 9.6中 krb5 SRPM 的安全修复。它解决了 80 个 CVE：
    CVE-2009-0845、 CVE-2008-0947、 CVE-2016-3120、 CVE-2024-3596、 和 CVE-2012-101475 个。

Tenable 已直接从 CIQ 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
63850	RHEL 4：krb5 (RHSA-2008:0182)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
67668	Oracle Linux 4：krb5 (ELSA-2008-0180)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
284373	MagicLinux 3 krb5-1.6.1-17AXS3.1 (AXSA:2008-345:03)	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	critical
284120	MagicLinux 3 krb5-1.6.1-17AXS3.1 (AXSA:2008-153:02)	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	critical
355341	Rocky Linux 9.2 [CIQ] 安全更新：krb5-devel / krb5-libs / krb5-libs-debuginfo / krb5-pkinit / 等多种漏洞（ciqsa-2026_0439）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/13	critical
60373	Scientific Linux 安全更新：SL3.x、SL4.x、SL5.x i386/x86_64 中的 krb5	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
67664	Oracle Linux 5：krb5 (ELSA-2008-0164)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	critical
67669	Oracle Linux 3：krb5 (ELSA-2008-0181)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
358952	Rocky Linux 8.6 [CIQ] 安全更新：krb5-devel / krb5-devel-debuginfo / krb5-libs / krb5-libs-debuginfo / 等多种漏洞（ciqsa-2026_0067）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/12	critical
354310	Rocky Linux 9.6 [CIQ] 安全更新：krb5-devel / krb5-libs / krb5-pkinit / krb5-server 等多种漏洞（ciqsa-2026_1422）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/13	critical

检测

插件搜索

high

high

critical

critical

critical

critical

critical

critical

critical

critical