CVE-2014-9423

2015-02-1911:59:00

CWE-200

[email protected]

web.nvd.nist.gov

mit kerberos

vulnerability

cve-2014-9423

remote attack

process heap memory

nvd

5.9 Medium

AI Score

Confidence

Low

5 Medium

CVSS2

Access Vector

NETWORK

Access Complexity

LOW

Authentication

NONE

Confidentiality Impact

PARTIAL

Integrity Impact

NONE

Availability Impact

NONE

AV:N/AC:L/Au:N/C:P/I:N/A:N

0.008 Low

EPSS

Percentile

82.0%

JSON

The svcauth_gss_accept_sec_context function in lib/rpc/svc_auth_gss.c in MIT Kerberos 5 (aka krb5) 1.11.x through 1.11.5, 1.12.x through 1.12.2, and 1.13.x before 1.13.1 transmits uninitialized interposer data to clients, which allows remote attackers to obtain sensitive information from process heap memory by sniffing the network for data in a handle field.

CPENameOperatorVersion
mit:kerberos_5mit kerberos 5eq1.11
mit:kerberos_5mit kerberos 5eq1.11.1
mit:kerberos_5mit kerberos 5eq1.11.2
mit:kerberos_5mit kerberos 5eq1.11.3
mit:kerberos_5mit kerberos 5eq1.11.4
mit:kerberos_5mit kerberos 5eq1.11.5
mit:kerberos_5mit kerberos 5eq1.12
mit:kerberos_5mit kerberos 5eq1.12.1
mit:kerberos_5mit kerberos 5eq1.12.2
mit:kerberos_5mit kerberos 5eq1.13

CPE	Name	Operator	Version
mit:kerberos_5	mit kerberos 5	eq	1.11
mit:kerberos_5	mit kerberos 5	eq	1.11.1
mit:kerberos_5	mit kerberos 5	eq	1.11.2
mit:kerberos_5	mit kerberos 5	eq	1.11.3
mit:kerberos_5	mit kerberos 5	eq	1.11.4
mit:kerberos_5	mit kerberos 5	eq	1.11.5
mit:kerberos_5	mit kerberos 5	eq	1.12
mit:kerberos_5	mit kerberos 5	eq	1.12.1
mit:kerberos_5	mit kerberos 5	eq	1.12.2
mit:kerberos_5	mit kerberos 5	eq	1.13