krb5-1.10.3-10.AXS4.1

以下項目について対処しました。

[Security Fix]
- krb5 の Key Distribution Center (KDC) の PKINIT 実装の plugins/preauth/pkinit/pkinit_srv.c の pkinit_server_return_padata 関数は，不適切な状況で agility KDF 識別子を検索し，巧妙に細工された Draft 9 リクエストによって，リモートの攻撃者がサービス拒否 (ヌルポインタ逆参照とデーモンのクラッシュ) を引き起こす脆弱性があります。(CVE-2012-1016)

- krb5 の Key Distribution Center (KDC) の PKINIT 実装の plugins/preauth/pkinit/pkinit_crypto_openssl.c の pkinit_check_kdc_pkid 関数は，X.509 証明書からフィールドを抽出している際に適切にエラーを処理しておらず，不正な KRB5_PADATA_PK_AS_REQ AS-REQ リクエストによって，リモートの攻撃者がサービス拒否 (ヌルポインタ逆参照とデーモンのクラッシュ) を引き起こす脆弱性があります。(CVE-2013-1415)

[Bug Fix]
- krb5 がアップストリームのバージョン 1.10.3 にアップグレードし，多くのバグ修正とクロスドメイントラスト機能のサポートを提供します。

- libsmbclient パッケージが誤ってもはやサポートされていない krb5_locate_kdc() 関数に依存しており，libsmbclient の古いバージョンを用いているアプリケーションが Kerberos ライブラリのアップデート後に互換性がなくなってしまう問題を修正しました。

- krb5-auth-dialog アプリケーションが使用され，プロンプタが長い時間ハングしたままの場合，大きな時間のずれが誤って記録されてしまい，この時間のずれが次の kinit のセッションに適用され， klist 関数が誤った期限切れの時間を報告する問題を修正しました。

- PKINIT クライアントの trusted root のリストが KDC の証明書を含んでいる場合，特定の KDC 実装がそういった署名されたデータ構造の証明書のリストからのアンカーを省略してしまい，クライアントが署名されたデータの KDC の署名を検証するのに失敗してしまう問題を修正しました。

- keytab ファイルが Advanced Encryption Standard (AES) キーを含んでいない場合，keytab ファイルとともに kinit コマンドを使用しようとするとしばしば失敗し，keytab にAES が含まれていないのにも関わらず，AES がデフォルトで選択され，mismatch エラーが生じる問題を修正しました。

- krb5 パッケージがタイムアウト値を適切に処理できず，特定の場合でタイムアウト値が負数になってしまい，レスポンスを確認する間にクライアントがループに入ってしまう問題を修正しました。

- passwd が Identity Management クライアントを使用している場合，次のメッセージを表示して実行に失敗してしまう問題を修正しました。
token manipulation error

- リプレイキャッシュをフラッシュする度に，新しく作成された置き換えのリプレイキャッシュファイルへ正しいラベルを適用するのを保証するためファイルコンテクストの設定をリロードしてしまい，認証を許可したりリプレイキャッシュを使用するアプリケーションに大きなパフォーマンスの低下が生じる問題を修正しました。