Le risque est à prendre au sérieux : un dépassement de mémoire tampon dans un démon d’administration de Kerberos 4 permettrait à un pirate de prendre le contrôle du système qui l’exécute. Pire : ce programme est aussi utilisé par Kerberos 5, afin d’assurer la compatibilité avec la version antérieure. Les deux versions sont donc concernées par cette vulnérabilité.Il n’est pas nécessaire de s’authentifier auprès de Kerberos pour pouvoir exploiter cette faille, ce qui la rend plus grave encore : n’importe qui capable d’accéder au réseau sur lequel fonctionne Kerberos peut compromettre le système. Cela vise tout particulièrement les administrateurs qui exploitent un centre de distribution des clés (KDC) accessible depuis Internet (une configuration risquée en premier lieu !).En prenant le contrôle du KDC, un pirate obtiendrait accès à tous les comptes utilisateurs sur tous les serveurs qui dépendent de ce centre de distribution de clés. Pour qui exploite Kerberos, ce scénario est l’un des pires envisagés.Des correctifs sont disponibles, et devraient être appliqués immédiatement.