تم نشر الإصدارات التصحيحية لحزمة Samba 4.15.2 و4.14.10 و4.13.14 مع إزالة 8 نقاط ضعف، يمكن أن يؤدي معظمها إلى اختراق كامل لمجال Active Directory. من الجدير بالذكر أنه تم إصلاح إحدى المشكلات منذ عام 2016، وخمس مشكلات منذ عام 2020، ومع ذلك، فإن أحد الإصلاحات جعل من المستحيل تشغيل winbindd مع إعداد "السماح بالنطاقات الموثوقة = لا" (يعتزم المطورون نشر تحديث آخر بسرعة مع يصلح). يمكن تتبع إصدار تحديثات الحزمة في التوزيعات على الصفحات: Debian، Ubuntu، RHEL، SUSE، Fedora، Arch، FreeBSD.
نقاط الضعف الثابتة:
- CVE-2020-25717 - بسبب وجود خلل في منطق تعيين مستخدمي المجال لمستخدمي النظام المحليين، يمكن لمستخدم مجال Active Directory الذي لديه القدرة على إنشاء حسابات جديدة على نظامه، تتم إدارتها من خلال ms-DS-MachineAccountQuota، الحصول على الجذر الوصول إلى أنظمة الآخرين المدرجة في المجال.
- CVE-2021-3738 هو استخدام بعد الوصول المجاني في تطبيق خادم Samba AD DC RPC (dsdb)، والذي قد يؤدي إلى تصعيد الامتيازات عند معالجة الاتصالات.
- CVE-2016-2124 - يمكن تحويل اتصالات العميل التي تم إنشاؤها باستخدام بروتوكول SMB1 إلى تمرير معلمات المصادقة بنص واضح أو عبر NTLM (على سبيل المثال، لتحديد بيانات الاعتماد أثناء هجمات MITM)، حتى إذا كان لدى المستخدم أو التطبيق الإعدادات المحددة للإلزامية المصادقة عبر Kerberos.
- CVE-2020-25722 – لم تقم وحدة تحكم مجال Active Directory المستندة إلى Samba بإجراء فحوصات الوصول المناسبة على البيانات المخزنة، مما يسمح لأي مستخدم بتجاوز عمليات التحقق من السلطة وتسوية المجال بالكامل.
- CVE-2020-25718 – لم تقم وحدة تحكم مجال Active Directory المستندة إلى Samba بعزل تذاكر Kerberos الصادرة عن RODC (وحدة تحكم المجال للقراءة فقط) بشكل صحيح، والتي يمكن استخدامها للحصول على تذاكر المسؤول من RODC دون الحصول على إذن للقيام بذلك.
- CVE-2020-25719 – لم تأخذ وحدة تحكم مجال Active Directory المستندة إلى Samba دائمًا في الاعتبار حقول SID وPAC في تذاكر Kerberos (عند إعداد "gensec:require_pac = true"، تم التحقق من الاسم فقط، ولم يتم أخذ PAC في الحساب)، والذي يسمح للمستخدم، الذي لديه الحق في إنشاء حسابات على النظام المحلي، بانتحال شخصية مستخدم آخر في المجال، بما في ذلك المستخدم المميز.
- CVE-2020-25721 – بالنسبة للمستخدمين الذين تمت مصادقتهم باستخدام Kerberos، لم يتم دائمًا إصدار معرف Active Directory الفريد (objectSid)، مما قد يؤدي إلى تقاطعات بين مستخدم وآخر.
- CVE-2021-23192 - أثناء هجوم MITM، كان من الممكن انتحال أجزاء من طلبات DCE/RPC كبيرة مقسمة إلى عدة أجزاء.
المصدر: opennet.ru