Avaldatud on Samba 4.16.4, 4.15.9 ja 4.14.14 parandavad väljalasked, mis kõrvaldavad 5 haavatavust. Distributsioonide pakettide värskenduste väljaandmist saab jälgida lehtedel: Debian, Ubuntu, RHEL, SUSE, Arch, FreeBSD.
Kõige ohtlikum haavatavus (CVE-2022-32744) võimaldab Active Directory domeeni kasutajatel muuta mis tahes kasutaja parooli, sealhulgas võimalust muuta administraatori parooli ja omandada täielik kontroll domeeni üle. Probleemi põhjustab see, et KDC aktsepteerib mis tahes tuntud võtmega krüpteeritud kpasswd päringuid.
Domeenijuurdepääsu omav ründaja võib saata võltspäringu teise kasutaja nimel uue parooli määramiseks, krüpteerides selle oma võtmega ja KDC töötleb seda ilma, et võti kontole vastaks. See hõlmab kirjutuskaitstud domeenikontrolleri (RODC) võtmete kasutamist, millel pole õigust paroole võltspäringute saatmiseks muuta. Lahendusena saate protokolli kpasswd toe keelata, lisades failile smb.conf rea “kpasswd port = 0”.
Muud haavatavused:
- CVE-2022-32746 – Active Directory kasutajad, saates spetsiaalselt koostatud LDAP-i lisamis- või muutmispäringuid, võivad käivitada serveriprotsessis mälule juurdepääsu pärast vaba kasutamist. Probleemi põhjustab asjaolu, et auditi logimise moodul pääseb juurde LDAP-sõnumi sisule pärast seda, kui andmebaasimoodul vabastab sõnumi jaoks eraldatud mälu. Rünnaku läbiviimiseks peavad teil olema õigused lisada või muuta teatud privilegeeritud atribuute, näiteks userAccountControl.
- CVE-2022-2031 Active Directory kasutajad saavad domeenikontrolleri teatud piirangutest mööda minna. KDC ja kpasswd teenus saavad teineteise pileteid dekrüpteerida, kuna neil on samad võtmed ja kontod. Vastavalt sellele saab parooli muutmist taotlenud kasutaja kasutada saadud piletit teistele teenustele juurdepääsuks.
- CVE-2022-32745 Active Directory kasutajad võivad põhjustada serveriprotsessi krahhi, saates LDAP-i "lisa" või "muutmise" taotlusi, mis pääsevad juurde initsialiseerimata andmetele.
- CVE-2022-32742 – SMB1-protokolli manipuleerimise kaudu lekib teave serveri mälu sisu kohta. SMB1-klient, millel on jagatud salvestusruumile kirjutamisõigus, saab luua tingimused serveriprotsessi mälusisu osade kirjutamiseks faili või selle printerisse saatmiseks. Rünnak viiakse läbi kirjutamisnõude saatmisega, mis näitab valet vahemikku. Probleem mõjutab ainult Samba filiaale enne versiooni 4.11 (4.11 harus on SMB1 tugi vaikimisi keelatud).
Allikas: opennet.ru