Հրապարակվել են Samba փաթեթի 4.15.2, 4.14.10 և 4.13.14 ուղղիչ թողարկումները՝ վերացնելով 8 խոցելիությունը, որոնց մեծ մասը կարող է հանգեցնել Active Directory տիրույթի ամբողջական փոխզիջման: Հատկանշական է, որ խնդիրներից մեկը շտկվել է 2016 թվականից, իսկ հինգը՝ 2020 թվականից, սակայն մեկ շտկում անհնարին է դարձրել winbindd-ի գործարկումը «թույլատրել վստահելի տիրույթները = ոչ» պարամետրով (մշակողները մտադիր են արագ հրապարակել ևս մեկ թարմացում՝ ուղղել). Փաթեթների թարմացումների թողարկումը բաշխումներում կարելի է հետևել էջերում՝ Debian, Ubuntu, RHEL, SUSE, Fedora, Arch, FreeBSD:
Ուղղված խոցելիություններ.
- CVE-2020-25717 - տիրույթի օգտատերերի տեղական համակարգի օգտատերերին քարտեզագրելու տրամաբանության թերության պատճառով Active Directory տիրույթի օգտատերը, ով կարող է նոր հաշիվներ ստեղծել իր համակարգում, որը կառավարվում է ms-DS-MachineAccountQuota-ի միջոցով, կարող է արմատ ստանալ: մուտք դեպի այլ համակարգեր, որոնք ներառված են տիրույթում:
- CVE-2021-3738-ը Samba AD DC RPC սերվերի ներդրման (dsdb) անվճար մուտքից հետո օգտագործում է, որը կարող է հանգեցնել արտոնությունների մեծացման՝ կապերը շահարկելիս:
- CVE-2016-2124 - Հաճախորդի կապերը, որոնք հաստատվել են SMB1 արձանագրության միջոցով, կարող են անցնել նույնականացման պարամետրերը հստակ տեքստով կամ NTLM-ի միջոցով (օրինակ՝ MITM գրոհների ժամանակ հավատարմագրերը որոշելու համար), նույնիսկ եթե օգտատերը կամ հավելվածն ունեն պարտադիր համար նախատեսված կարգավորումները: Նույնականացում Kerberos-ի միջոցով:
- CVE-2020-25722 – Samba-ի վրա հիմնված Active Directory տիրույթի վերահսկիչը չի կատարել պատշաճ մուտքի ստուգումներ պահված տվյալների վրա՝ թույլ տալով ցանկացած օգտատիրոջ շրջանցել լիազորությունների ստուգումները և ամբողջությամբ վտանգի ենթարկել տիրույթը:
- CVE-2020-25718 – Samba-ի վրա հիմնված Active Directory տիրույթի վերահսկիչը ճիշտ չի մեկուսացրել RODC-ի կողմից թողարկված Kerberos տոմսերը (միայն կարդալու տիրույթի վերահսկիչ), որոնք կարող են օգտագործվել RODC-ից ադմինիստրատորի տոմսեր ձեռք բերելու համար՝ առանց դրա թույլտվության:
- CVE-2020-25719 – Samba-ի վրա հիմնված Active Directory տիրույթի վերահսկիչը միշտ չէ, որ հաշվի է առել SID և PAC դաշտերը Kerberos-ի տոմսերում («gensec:require_pac = ճշմարիտ» սահմանելիս միայն անունը ստուգվել է, և PAC-ը չի վերցվել: հաշվի առնելով), որը թույլ է տվել օգտատիրոջը, ով իրավունք ունի ստեղծել հաշիվներ տեղական համակարգում, անձնավորել տիրույթում մեկ այլ օգտատիրոջ, ներառյալ արտոնյալը:
- CVE-2020-25721 – Kerberos-ի միջոցով վավերացված օգտատերերի համար միշտ չէ, որ թողարկվում է եզակի Active Directory նույնացուցիչ (objectSid), որը կարող է հանգեցնել մեկ օգտագործողի և մյուսի միջև խաչմերուկների:
- CVE-2021-23192 - MITM հարձակման ժամանակ հնարավոր եղավ կեղծել բեկորները մեծ DCE/RPC հարցումներում, որոնք բաժանված էին մի քանի մասերի:
Source: opennet.ru