Byly publikovány záplaty Samby 4.15.2, 4.14.10 a 4.13.14, které řeší osm zranitelností, z nichž většina by mohla vést k úplnému napadení domény Active Directory. Je pozoruhodné, že jedna z chyb byla opravena od roku 2016 a pět od roku 2020. Jedna záplata však bránila spuštění winbindd, když bylo povoleno nastavení „povolit důvěryhodné domény = ne“ (vývojáři hodlají neprodleně vydat další aktualizaci s touto opravou). Vydávání aktualizací balíčků v distribucích lze sledovat na následujících stránkách: Debian, Ubuntu, RHEL, SUSE, Fedora, Arch, FreeBSD.
Opravené chyby zabezpečení:
- CVE-2020-25717 – Kvůli chybě v logice mapování uživatelů domény na uživatele lokálního systému mohl uživatel domény služby Active Directory s možností vytvářet nové účty ve svém systému, spravované pomocí ms-DS-MachineAccountQuota, získat root přístup k jiným systémům v doméně. doména.
- CVE-2021-3738 je Použití po volném přístupu v implementaci serveru Samba AD DC RPC (dsdb), které by mohlo potenciálně vést k eskalaci oprávnění při manipulaci s připojeními.
- CVE-2016-2124 – Klientská připojení vytvořená pomocí protokolu SMB1 lze přepnout na předávání ověřovacích parametrů ve formátu prostého textu nebo prostřednictvím NTLM (například k určení přihlašovacích údajů během útoků MITM), a to i v případě, že uživatel nebo aplikace má nastavení zadaná pro povinné ověřování přes Kerberos.
- CVE-2020-25722 – Řadič domény Active Directory založený na Sambě neprovedl správné kontroly přístupu k uloženým datům, což umožnilo jakémukoli uživateli obejít kontroly oprávnění a zcela kompromitovat doménu.
- CVE-2020-25718 – řadič domény Active Directory založený na Sambě správně neizoloval lístky Kerberos vydané řadičem domény jen pro čtení, které lze použít k získání lístků správce z řadiče domény jen pro čtení, aniž by k tomu měli oprávnění.
- CVE-2020-25719 – řadič domény Active Directory založený na Sambě nebral vždy v úvahu pole SID a PAC v lístcích Kerberos (při nastavení „gensec:require_pac = true“ byl zkontrolován pouze název a PAC nebyl převzat do účtu), což umožnilo uživateli, který má právo vytvářet účty na lokálním systému, vydávat se za jiného uživatele v doméně, včetně privilegovaného.
- CVE-2020-25721 – Pro uživatele ověřené pomocí Kerberos nebyl vždy vydán jedinečný identifikátor služby Active Directory (objectSid), což by mohlo vést k průnikům mezi jedním uživatelem a druhým.
- CVE-2021-23192 – Během útoku MITM bylo možné zfalšovat fragmenty ve velkých požadavcích DCE/RPC rozdělených do několika částí.
Zdroj: opennet.ru
