Avaldatud on korrigeerivad väljalasked Samba paketist 4.15.2, 4.14.10 ja 4.13.14, mis parandavad 8 haavatavust, millest enamus võivad viia Active Directory domeeni täieliku kompromiteerimiseni. Tähelepanuväärne on see, et ühe probleemi lahendamist on alustatud juba 2016. aastast ja viit alates 2020. aastast; siiski tõi üks parandamine endaga kaasa winbindd käivitumise ebaõnnestumise, kui on seadistatud „allow trusted domains = no“ (arendajad kavatsevad kiiresti avaldada veel ühe värskenduse, mis probleemi lahendab). Pakettide värskenduste väljalaske jälgimist jaotustes saab teha lehtedel: Debian, Ubuntu, RHEL, SUSE, Fedora, Arch, FreeBSD.
Küljest eemaldatud haavatavused:
- CVE-2020-25717 — kasutajate domeeni ja kohalikus süsteemis olevate kasutajate vahelise kaardistamise loogika puudujäägi tõttu sai Active Directory domeeninimi, kellel on lubatud luua uusi kontosid oma süsteemis, mille üle valitsetakse ms-DS-MachineAccountQuota kaudu, juurdepääsu root õigustega teistele süsteemidele, mis kuuluvad domeeni.
- CVE-2021-3738 — juba vabastatud mälupiirkonna (Use after free) juurde pääsemise probleem Samba AD DC (dsdb) RPC-serveri teostuses, mis võib potentsiaalselt viia õiguste tõstmise võimalusteni, kui manipuleerida ühenduste seadistamisega.
- CVE-2016-2124 — kliendiühendused, mis on loodud SMB1 protokolli abil, võivad edastada autentimisteavet selges tekstis või NTLM-i kaudu (nt kasutaja mandaadi määramiseks MITM-rünnakute puhul), isegi kui kasutaja või rakenduse seadetes on määratud kohustuslik autentimine Kerberose kaudu.
- CVE-2020-25722 — Active Directory domeeni kontrolleris, mis põhineb Samba-l, ei teostatud nõuetekohaseid juurdepääsukontrolle salvestatud andmetele, mis võimaldas igal kasutajal mööda minna volituskatsetest ja täielikult kompromiteerida domeeni.
- CVE-2020-25718 — Active Directory domeeni kontrolleris, mis põhineb Samba-l, ei isoleeritud korrektselt RODC (künnisega domeeni kontrolleri) poolt väljastatud Kerberose piletid, mis võisid võimaldada RODC-l saada administraatori pileteid, ilma vastava volituseta.
- CVE-2020-25719 — Active Directory domeeni juhtimisseade Samba baasil ei arvestanud alati SID ja PAC väljade kombinatsiooni Kerberos'i piletites (seades "gensec:require_pac = true" kontrolliti ainult nime, PAC'i ei arvestatud), mis võimaldas kasutajal, kellel oli õigused kohalikul süsteemil kontode loomiseks, end esitleda teise kasutajana domeenis, sealhulgas privileege omavana.
- CVE-2020-25721 — Kerberos'i autentimisega kasutajatele anti mitte alati unikaalsed identifikaatorid Active Directory's (objectSid), mis võis viia ühe kasutaja ja teise risti minekuni.
- CVE-2021-23192 — MITM-rünnaku korral oli võimalik asendada fragmente suurtes DCE/RPC päringutes, mis jagati mitmeks osaks.
Allikas: opennet.ru
