Sambas on kõrvaldatud 8 ohtlikku haavatavust

On avaldatud Samba versioonide 4.15.2, 4.14.10 ja 4.13.14 parandused, mis kõrvaldavad 8 haavatavust, millest enamus võivad viia Active Directory domeeni täieliku kompromiteerimiseni. Eriti tähelepanuväärne on see, et ühte probleemi parandati juba 2016. aastal ja viit alates 2020. aastast; siiski viis üks parandus winbindd käivitamise võimatuks seadistuse "allow trusted domains = no" korral (arendajad kavatsevad kiiresti välja anda veel ühe paranduse). Pakettide värskenduste väljaandmist jaotustes saab jälgida lehtedelt: Debian, Ubuntu, RHEL, SUSE, Fedora, Arch, FreeBSD.

Küsimused, mis on kõrvaldatud:

• CVE-2020-25717 — seoses domeeni kasutajate ja kohalikku süsteemi kasutajate vahelise mappimise loogika puudustega, suutis Active Directory domeeni kasutaja, kellel oli õigus oma süsteemis uusi kontosid luua, mida hallatakse ms-DS-MachineAccountQuota kaudu, pääseda juurõigustega teistele süsteemidele, mis kuulusid domeen.
• CVE-2021-3738 — juba vabastatud mälualadele (Use after free) pöördumine Samba AD DC (dsdb) RPC-serveri rakenduses, mis võib potentsiaalselt viia õiguste tõstmisele seoses ühenduste seadistamisega.
• CVE-2016-2124 — klientühendustega, mis on loodud SMB1 protokolli kasutades, võidi edastada autentimise parameetreid tasulisel või NTLM kaudu (näiteks kasutajate andmete hankimiseks MITM-rünnakute läbiviimisel), isegi kui kasutaja või rakenduse seadetes on määratud, et Kerberos on kohustuslik autentimine.
• CVE-2020-25722 — Active Directory domeeni kontrolleris, mis põhineb Samba-l, ei teostatud nõutavaid pääsukontrolle salvestatud andmetele, mis võimaldas igal kasutajal pääseda üle jõu ja täielikult kompromiteerida domeeni.
• CVE-2020-25718 — Active Directory domeeni kontrolleris, mis põhineb Samba-l, ei isoleeritud õigesti Kerberos'i piletid, mille on välja andnud RODC (Read-only domain controller), mis võis võimaldada saada RODC-lt administraatori pileteid, omamata selleks õigusi.
• CVE-2020-25719 — Active Directory domeeni kontrolleris, mis põhineb Samba-l, ei arvestatud alati SID ja PAC väljade sidumist Kerberos'e piletites (seadistuses "gensec:require_pac = true" kontrolliti vaid nime ja PAC-i ei arvestatud), mis võimaldas kohaliku süsteemi kontosid loova kasutaja pretenteerida teise, sealhulgas privileegidega kasutajana domeenis.
• CVE-2020-25721 — Kerberos'i kasutajien puhul ei antud alati ainulaadseid tuvastajaid Active Directory's (objectSid), mis võis viia ühe kasutaja ja teise kokkupuutele.
• CVE-2021-23192 — MITM-rünnaku korral oli võimalik asendada osi suurtes DCE/RPC päringutes, mis jagunesid mitmeks osaks.

Allikas: opennet.ru