Objavljene su Samba zakrpe 4.15.2, 4.14.10 i 4.13.14 koje rješavaju osam ranjivosti, od kojih većina može dovesti do potpunog kompromitiranja domene Active Directoryja. Važno je napomenuti da je jedan od problema zakrpan od 2016., a pet od 2020. Međutim, jedna zakrpa spriječila je pokretanje winbindda kada je postavljena postavka "dopusti pouzdane domene = ne" (razvojni programeri namjeravaju odmah objaviti još jedno ažuriranje s popravkom). Izlazak ažuriranja paketa u distribucijama može se pratiti na sljedećim stranicama: Debian, Ubuntu, RHEL, SUSE, Fedora, Arch, FreeBSD.
Ispravljene ranjivosti:
- CVE-2020-25717 - Zbog greške u logici mapiranja korisnika domene na korisnike lokalnog sustava, korisnik domene Active Directoryja s mogućnošću stvaranja novih računa na svom sustavu, upravljanim putem ms-DS-MachineAccountQuota, mogao bi dobiti root pristup drugim sustavima unutar domene. domena.
- CVE-2021-3738 - Ranjivost koja se naziva "korištenje nakon oslobađanja" u implementaciji RPC poslužitelja Samba AD DC (dsdb) mogla bi potencijalno dovesti do eskalacije privilegija prilikom manipuliranja postavljanjem veze.
- CVE-2016-2124 - Klijentske veze uspostavljene pomoću SMB1 protokola mogle bi se preusmjeriti na provjeru autentičnosti čistim tekstom ili NTLM-om (npr. za određivanje vjerodajnica za napade tipa "čovjek u sredini"), čak i ako je korisnik ili aplikacija konfigurirana za zahtijevanje Kerberos provjere autentičnosti.
- CVE-2020-25722 — Kontroler domene Active Directoryja temeljen na Sambi nije izvršio ispravne provjere pristupa pohranjenim podacima, omogućujući bilo kojem korisniku da zaobiđe provjere dopuštenja i potpuno ugrozi domenu.
- CVE-2020-25718 — Kontroler domene Active Directoryja temeljen na Sambi nije ispravno izolirao Kerberos ulaznice koje je izdao kontroler domene samo za čitanje (RODC), a koje su se mogle koristiti za dobivanje administratorskih ulaznica od RODC-a bez autorizacije.
- CVE-2020-25719 — Kontroler domene Active Directoryja temeljen na Sambi nije uvijek uzimao u obzir polja SID i PAC u Kerberos tiketima (pri postavljanju "gensec:require_pac = true", provjeravalo se samo ime, a PAC se nije uzimao u obzir), što je korisniku s pravom stvaranja računa na lokalnom sustavu omogućavalo da se lažno predstavlja kao drugi korisnik u domeni, uključujući i privilegiranog.
- CVE-2020-25721 – Korisnicima autentificiranim putem Kerberosa nisu uvijek dodijeljeni jedinstveni identifikatori Active Directoryja (objectSid), što je moglo dovesti do preklapanja među korisnicima.
- CVE-2021-23192 - Napad tipa "čovjek u sredini" mogao bi lažirati fragmente u velikim DCE/RPC zahtjevima koji su podijeljeni u više dijelova.
Izvor: opennet.ru
