JVNVU#93736410
HeimdalのKerberos実装にNULLポインタ参照の脆弱性

HeimdalのKerberos実装にはNULLポインタ参照の脆弱性が存在します。

• Heimdal 7.7.0 およびそれ以前

HeimdalのKerberos実装には、GSS-APIの上で動作するSPNEGOを有効にしている場合、negTokenInitトークンの処理の不備により、クライアントから不正なnegTokenInitトークンを受信した際にNULLポインタ参照が発生する脆弱性（CWE-476、CVE-2022-3116）が存在します。
 

攻撃者によりクライアントから不正なnegTokenInitを含むパケットを送信されることにより、脆弱なHeimdal実装を含むアプリケーションがクラッシュし、サービス運用妨害（DoS）状態にされる可能性があります。

修正コードを適用する
本脆弱性に対して、2020年2月にHeimdalプロジェクトのソースコード（masterブランチ）に修正コードがコミットされています。
ただし、2022年10月11日現在、Heimdalの最新の安定版である7.7.0には本脆弱性の修正が含まれていません。