CVE-2003-0378
CVSS7.5
发布时间 :2003-06-16 00:00:00
修订时间 :2008-09-05 16:34:10
NMCOS    

[原文]The Kerberos login authentication feature in Mac OS X, when used with an LDAPv3 server and LDAP bind authentication, may send cleartext passwords to the LDAP server when the AuthenticationAuthority attribute is not set.


[CNNVD]Apple Mac OS X Server LDAP验证明文口令漏洞(CNNVD-200306-078)

        
        Mac OS X是一款使用在Mac机器上的操作系统,基于BSD系统。
        Mac OS X使用Kerberos会在网络上泄露明文密码,远程攻击者可以利用这个漏洞获得密码信息未授权访问系统。
        Mac OS X当使用Kerberos登录和集成LDAPv3服务器时,帐户密码以明文格式发送。当验证书权属性没有被设置,登录窗口会尝试通过配置好的LDAP服务器进行帐户验证。在验证使用加密密码的用户后,登录窗口返回后会尝试一个到服务器的简单绑定,这个简单绑定以明文方式传输帐号口令。
        

- CVSS (基础分值)

CVSS分值: 7.5 [严重(HIGH)]
机密性影响: PARTIAL [很可能造成信息泄露]
完整性影响: PARTIAL [可能会导致系统文件被修改]
可用性影响: PARTIAL [可能会导致性能下降或中断资源访问]
攻击复杂度: LOW [漏洞利用没有访问限制 ]
攻击向量: [--]
身份认证: NONE [漏洞利用无需身份认证]

- CPE (受影响的平台与产品)

产品及版本信息(CPE)暂不可用

- OVAL (用于检测的技术细节)

未找到相关OVAL定义

- 官方数据库链接

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2003-0378
(官方数据源) MITRE
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2003-0378
(官方数据源) NVD
http://www.cnnvd.org.cn/vulnerability/show/cv_cnnvdid/CNNVD-200306-078
(官方数据源) CNNVD

- 其它链接及资源

http://www.kb.cert.org/vuls/id/467828
(VENDOR_ADVISORY)  CERT-VN  VU#467828
http://docs.info.apple.com/article.html?artnum=107579
(UNKNOWN)  CONFIRM  http://docs.info.apple.com/article.html?artnum=107579

- 漏洞信息

Apple Mac OS X Server LDAP验证明文口令漏洞
高危 配置错误
2003-06-16 00:00:00 2005-10-20 00:00:00
远程  
        
        Mac OS X是一款使用在Mac机器上的操作系统,基于BSD系统。
        Mac OS X使用Kerberos会在网络上泄露明文密码,远程攻击者可以利用这个漏洞获得密码信息未授权访问系统。
        Mac OS X当使用Kerberos登录和集成LDAPv3服务器时,帐户密码以明文格式发送。当验证书权属性没有被设置,登录窗口会尝试通过配置好的LDAP服务器进行帐户验证。在验证使用加密密码的用户后,登录窗口返回后会尝试一个到服务器的简单绑定,这个简单绑定以明文方式传输帐号口令。
        

- 公告与补丁

        临时解决方法:
        如果您不能立刻安装补丁或者升级,CNNVD建议您采取以下措施以降低威胁:
        * 要防止此问题,在LDAP服务器上应把AuthenticationAuthority属性映射到已经存在的非空属性上。映射哪个属性并不重要,但必须属性非空而且目录存在。不要使用静态映射条目。
        厂商补丁:
        Apple
        -----
        目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:
        Apple MacOS X Server 10.2.6:
        Apple Upgrade SecurityUpd2003-06-09.dmg
        
        http://www.info.apple.com/kbnum/n120223

- 漏洞信息

4867
Apple Mac OS X Kerberos Login Password Exposure
Remote / Network Access Authentication Management, Information Disclosure
Loss of Confidentiality

- 漏洞描述

Mac OS X contains a flaw that may lead to an unauthorized password exposure. It is possible to gain access to plaintext passwords when using a Kerberos login with an LDAPv3 server. The function will attempt to authenticate using an encrypted password, but will then attempt a 'simple bind' that transmits the password in plaintext, which may lead to a loss of confidentiality.

- 时间线

2003-05-27 Unknow
Unknow Unknow

- 解决方案

Currently, there are no known workarounds or upgrades to correct this issue. However, Apple has released a patch to address this vulnerability.

- 相关参考

- 漏洞作者

Unknown or Incomplete

- 漏洞信息

Apple Mac OS X Server LDAP Authentication Clear Text Passwords Vulnerability
Configuration Error 7832
Yes No
2003-06-05 12:00:00 2009-07-11 10:06:00
Vulnerability announced by the vendor.

- 受影响的程序版本

Apple Mac OS X Server 10.2.6
Apple Mac OS X Server 10.2.5
Apple Mac OS X Server 10.2.4
Apple Mac OS X Server 10.2.3
Apple Mac OS X Server 10.2.2
Apple Mac OS X Server 10.2.1
Apple Mac OS X Server 10.2

- 漏洞讨论

It has been reported that Mac OS X may leak plain text passwords in a network that uses Kerberos. This could allow an attacker to gain unauthorized access to systems.

- 漏洞利用

No exploit is required for this vulnerability.

- 解决方案

Apple has released updates for this issue. Users of MacOS X 10.2.6 can update their systems using the Software Update pane in System Preferences or by downloading SecurityUpd2003-06-09.dmg.


Apple Mac OS X Server 10.2.6

- 相关参考

 

 

关于SCAP中文社区

SCAP中文社区是国内第一个以SCAP为主题的中文开放社区。了解更多信息,请查阅[关于本站]

版权声明

CVE/CWE/OVAL均为MITRE公司的注册商标,它们的官方数据源均保存在MITRE公司的相关网站