Byly vydány opravy pro balíčky Samba 4.15.2, 4.14.10 a 4.13.14, které odstraňují 8 zranitelností, z nichž většina může vést k plné kompromitaci domény Active Directory. Je pozoruhodné, že jedno z těchto problémů bylo opravováno od roku 2016, a pět od roku 2020; přesto jedno z oprav vedlo k tomu, že winbindd nelze spustit při nastavení "allow trusted domains = no" (vývojáři plánují brzy vydat další aktualizaci s opravou). Vydání aktualizací balíčků ve distribucích lze sledovat na stránkách: Debian, Ubuntu, RHEL, SUSE, Fedora, Arch, FreeBSD.
Odstraněné zranitelnosti:
- CVE-2020-25717 — kvůli nedostatku v logice mapování uživatelů domény na uživatele místního systému mohl uživatel domény Active Directory, který měl možnost vytvářet nové účty na svém systému spravované prostřednictvím ms-DS-MachineAccountQuota, získat přístup s právy root na jiné systémy, které se nacházejí v doména.
- CVE-2021-3738 — přístup k již uvolněné paměťové oblasti (Use after free) v implementaci RPC serveru Samba AD DC (dsdb), který může potenciálně vést k eskalaci oprávnění při manipulaci s nastavením spojení.
- CVE-2016-2124 — klientské spojení navázaná pomocí protokolu SMB1 mohla být přepnuta na přenos autentizačních parametrů v otevřeném textu nebo prostřednictvím NTLM (například k určení přihlašovacích údajů při provádění MITM útoků), i když byla pro uživatele nebo aplikaci v nastavení nastavena povinná autentizace prostřednictvím Kerberos.
- CVE-2020-25722 — v řadiči domény Active Directory založeném na Samba nebyly prováděny patřičné kontrolní kontroly přístupu k uloženým datům, což umožnilo jakémukoli uživateli obejít kontrolu oprávnění a plně kompromitovat doménu.
- CVE-2020-25718 — v řadiči domény Active Directory založeném na Samba nebyla správně izolována tikety Kerberos vydané RODC (Read-only domain controller), což by mohlo být využito k získání tiketu administrátora u RODC, aniž by na to měl oprávnění.
- CVE-2020-25719 — ovladač domény Active Directory na základě Samba ne vždy zohledňoval ve spojení pole SID a PAC v Kerberos ticketech (při nastavení „gensec:require_pac = true“ se kontrolovalo pouze jméno, zatímco PAC se nezohledňoval), což umožňovalo uživateli, který má oprávnění vytvářet účty na lokálním systému, vydávat se za jiného uživatele v doméně, včetně privilegovaného.
- CVE-2020-25721 — pro uživatele, kteří se autentizovali pomocí Kerberos, nebyly vždy vydávány unikátní identifikátory pro Active Directory (objectSid), což mohlo vést k překrývání jednoho uživatele s druhým.
- CVE-2021-23192 — při provádění MITM útoku byla možnost podvrhnout fragmenty ve velkých DCE/RPC požadavcích, které byly rozděleny na více částí.
Zdroj: opennet.ru
