Der er offentliggjort rettelsesudgivelser af Samba-pakkerne 4.15.2, 4.14.10 og 4.13.14 for at rette 8 sårbarheder, hvoraf de fleste kan føre til fuld kompromittering af et Active Directory-domæne. Bemærkelsesværdigt er det, at et af problemerne har været under behandling siden 2016, og fem siden 2020. Ikke desto mindre førte en rettelse til, at winbindd ikke kunne startes med indstillingen "allow trusted domains = no" (udviklerne har til hensigt hurtigt at offentliggøre endnu en opdatering med en løsning). Udgivelsen af opdateringspakkerne i distributionerne kan følges på siderne: Debian, Ubuntu, RHEL, SUSE, Fedora, Arch, FreeBSD.
Udbedrede sårbarheder:
- CVE-2020-25717 — På grund af en fejl i logikken for kortlægning af domænebrugere til lokale systembrugere, kunne en Active Directory-domænebruger, som havde mulighed for at oprette nye konti på sit system, styret gennem ms-DS-MachineAccountQuota, få root-adgang til andre systemer, der er en del af domæne.
- CVE-2021-3738 — Adgang til et allerede frigivet hukommelsesområde (Use after free) i implementeringen af RPC-serveren Samba AD DC (dsdb), som potentielt kan føre til forhøjede privilegier ved manipulation af tilkoblingens opsætning.
- CVE-2016-2124 — Klientforbindelser, der etableres ved hjælp af SMB1-protokollen, kunne fås til at overføre autentificeringsparametre i klartekst eller via NTLM (for eksempel til at fastslå legitimationsoplysninger under MITM-angreb), selvom en obligatorisk autentificering via Kerberos var defineret for brugeren eller applikationen i indstillingerne.
- CVE-2020-25722 — I Active Directory-domænecontrolleren baseret på Samba blev de nødvendige adgangskontroller til gemte data ikke udført, hvilket gjorde det muligt for enhver bruger at omgå behørighedskontrollerne og fuldt ud kompromittere domænet.
- CVE-2020-25718 — I Active Directory-domænecontrolleren baseret på Samba blev Kerberos-billetter udstedt af RODC (Read-only domain controller) ikke korrekt isoleret, hvilket kunne udnyttes til at få administratorbilletter fra RODC uden at have de rette beføjelser.
- CVE-2020-25719 — Active Directory-domænecontrolleren baseret på Samba tog ikke altid hensyn til foreningen af SID- og PAC-felterne i Kerberos-billetter (ved indstillingen "gensec:require_pac = true" blev kun navnet kontrolleret, mens PAC ikke blev taget i betragtning), hvilket gjorde det muligt for en bruger med ret til at oprette konti på det lokale system at fremstille sig selv som en anden bruger i domænet, herunder en privilegeret.
- CVE-2020-25721 — for users authenticated using Kerberos, unique identifiers for Active Directory (objectSid) were not always issued, which could lead to overlaps between different users.
- CVE-2021-23192 — during a MITM attack, there was a possibility of replacing fragments in large DCE/RPC requests that were split into multiple parts.
Kilde: opennet.ru
