सांबा पैच 4.15.2, 4.14.10 और 4.13.14 प्रकाशित किए गए हैं, जिनमें आठ कमजोरियों को दूर किया गया है, जिनमें से अधिकांश एक्टिव डायरेक्टरी डोमेन के पूर्ण रूप से असुरक्षित होने का कारण बन सकती थीं। विशेष रूप से, इनमें से एक समस्या को 2016 के बाद और पांच को 2020 के बाद ठीक किया गया था। हालांकि, एक पैच ने "allow trusted domains = no" सेटिंग होने पर winbindd को चलने से रोक दिया (डेवलपर्स इस समस्या को ठीक करने के लिए जल्द ही एक और अपडेट प्रकाशित करने का इरादा रखते हैं)। वितरणों में पैकेज अपडेट की रिलीज़ को निम्नलिखित पृष्ठों पर ट्रैक किया जा सकता है: Debian, UbuntuRHEL, SUSE, Fedora, Arch, FreeBSD.
निश्चित कमजोरियाँ:
- CVE-2020-25717 - डोमेन उपयोगकर्ताओं को स्थानीय सिस्टम उपयोगकर्ताओं से मैप करने के तर्क में एक खामी के कारण, ms-DS-MachineAccountQuota के माध्यम से प्रबंधित अपने सिस्टम पर नए खाते बनाने की क्षमता रखने वाला एक एक्टिव डायरेक्टरी डोमेन उपयोगकर्ता डोमेन के भीतर अन्य सिस्टमों तक रूट एक्सेस प्राप्त कर सकता है। डोमेन.
- सीवीई-2021-3738 सांबा एडी डीसी आरपीसी सर्वर कार्यान्वयन (डीएसडीबी) में मुफ्त पहुंच के बाद एक उपयोग है, जो कनेक्शन में हेरफेर करते समय संभावित रूप से विशेषाधिकारों में वृद्धि का कारण बन सकता है।
- सीवीई-2016-2124 - एसएमबी1 प्रोटोकॉल का उपयोग करके स्थापित क्लाइंट कनेक्शन को स्पष्ट पाठ में या एनटीएलएम के माध्यम से प्रमाणीकरण पैरामीटर पास करने के लिए स्विच किया जा सकता है (उदाहरण के लिए, एमआईटीएम हमलों के दौरान क्रेडेंशियल निर्धारित करने के लिए), भले ही उपयोगकर्ता या एप्लिकेशन के पास अनिवार्य के लिए निर्दिष्ट सेटिंग्स हों कर्बेरोस के माध्यम से प्रमाणीकरण।
- सीवीई-2020-25722 - एक सांबा-आधारित सक्रिय निर्देशिका डोमेन नियंत्रक ने संग्रहीत डेटा पर उचित पहुंच जांच नहीं की, जिससे किसी भी उपयोगकर्ता को प्राधिकरण जांच को बायपास करने और डोमेन से पूरी तरह से समझौता करने की अनुमति मिली।
- सीवीई-2020-25718 - सांबा-आधारित सक्रिय निर्देशिका डोमेन नियंत्रक ने आरओडीसी (रीड-ओनली डोमेन नियंत्रक) द्वारा जारी किए गए केर्बरोस टिकटों को सही ढंग से अलग नहीं किया, जिसका उपयोग ऐसा करने की अनुमति के बिना आरओडीसी से प्रशासक टिकट प्राप्त करने के लिए किया जा सकता था।
- सीवीई-2020-25719 - सांबा-आधारित सक्रिय निर्देशिका डोमेन नियंत्रक हमेशा केर्बरोस टिकटों में एसआईडी और पीएसी फ़ील्ड को ध्यान में नहीं रखता था ("जेनसेक: रिक्वायर_पैक = ट्रू" सेट करते समय, केवल नाम की जाँच की गई थी, और पीएसी नहीं लिया गया था) खाते में), जिसने उपयोगकर्ता को, जिसके पास स्थानीय सिस्टम पर खाते बनाने का अधिकार है, डोमेन में किसी अन्य उपयोगकर्ता का प्रतिरूपण करने की अनुमति दी, जिसमें एक विशेषाधिकार प्राप्त उपयोगकर्ता भी शामिल है।
- सीवीई-2020-25721 - केर्बरोस का उपयोग करके प्रमाणित उपयोगकर्ताओं के लिए, एक अद्वितीय सक्रिय निर्देशिका पहचानकर्ता (ऑब्जेक्टसिड) हमेशा जारी नहीं किया जाता था, जिससे एक उपयोगकर्ता और दूसरे के बीच अंतरसंबंध हो सकता था।
- सीवीई-2021-23192 - एमआईटीएम हमले के दौरान, कई भागों में विभाजित बड़े डीसीई/आरपीसी अनुरोधों में टुकड़ों को धोखा देना संभव था।
स्रोत: opennet.ru
