Samba-opdaterings 4.15.2, 4.14.10 en 4.13.14 is gepubliseer, wat agt kwesbaarhede aanspreek, waarvan die meeste kan lei tot die volledige kompromie van 'n Active Directory-domein. Dit is opmerklik dat een van die probleme sedert 2016 opgedateer is, en vyf sedert 2020. Een opdatering het egter verhoed dat winbindd loop toe die instelling "laat vertroude domeine = nee toe" geaktiveer was (die ontwikkelaars beoog om onmiddellik 'n ander opdatering met die oplossing te publiseer). Die vrystelling van pakketopdaterings in verspreidings kan op die volgende bladsye gevolg word: Debian, Ubuntu, RHEL, SUSE, Fedora, Arch, FreeBSD.
Vaste kwesbaarhede:
- CVE-2020-25717 - As gevolg van 'n fout in die logika vir die kartering van domeingebruikers aan plaaslike stelselgebruikers, kan 'n Active Directory-domeingebruiker met die vermoΓ« om nuwe rekeninge op hul stelsel te skep, bestuur deur ms-DS-MachineAccountQuota, worteltoegang tot ander stelsels binne die domein verkry. domein.
- CVE-2021-3738 - Toegang tot 'n reeds vrygestelde geheue-area (Gebruik na gratis) in die implementering van die Samba AD DC RPC-bediener (dsdb), wat moontlik kan lei tot voorregte-eskalasie wanneer verbindingsvestiging gemanipuleer word.
- CVE-2016-2124 - KliΓ«ntverbindings wat met die SMB1-protokol tot stand gebring is, kan omgeskakel word om verifikasieparameters in gewone teks of via NTLM deur te gee (byvoorbeeld om geloofsbriewe te bepaal wanneer MITM-aanvalle uitgevoer word), selfs al het die gebruiker of toepassing 'n verpligte verifikasie via Kerberos .
- CVE-2020-25722 - Samba-gebaseerde Active Directory-domeinbeheerder het nie behoorlike gestoorde datatoegangskontroles uitgevoer nie, wat enige gebruiker in staat stel om magtigingskontroles te omseil en die domein heeltemal in gevaar te stel.
- CVE-2020-25718 - Kerberos-kaartjies wat deur RODC's (Leesalleen-domeinbeheerders) uitgereik is, is nie korrek geΓ―soleer in 'n Samba-gebaseerde Active Directory-domeinbeheerder nie, wat gebruik kan word om administrateurkaartjies van die RODC te verkry sonder om toestemming te hΓͺ om dit te doen.
- CVE-2020-25719 - Samba-gebaseerde Active Directory-domeinbeheerder het nie altyd die SID- en PAC-velde in Kerberos-kaartjies in die binding in ag geneem nie (wanneer "gensec:require_pac = true" gestel is, is net die naam nagegaan, en PAC was nie in ag geneem nie), wat die gebruiker toegelaat het, wat die reg het om rekeninge op die plaaslike stelsel te skep, 'n ander gebruiker in die domein naboots, insluitend bevoorregtes.
- CVE-2020-25721 - Gebruikers wat met Kerberos geverifieer is, is nie altyd unieke identifiseerders vir Active Directory (objectSid) gegee nie, wat kan lei tot oorvleueling van een gebruiker met 'n ander.
- CVE-2021-23192 - Tydens 'n MITM-aanval was dit moontlik om fragmente te bedrieg in groot DCE/RPC-versoeke wat in verskeie dele verdeel is.
Bron: opennet.ru
