Patch Samba versi 4.15.2, 4.14.10, dan 4.13.14 telah diterbitkan, mengatasi delapan kerentanan, yang sebagian besar dapat menyebabkan kompromi total pada domain Active Directory. Perlu dicatat, salah satu masalah telah ditambal sejak tahun 2016, dan lima sejak tahun 2020. Namun, satu patch mencegah winbindd berjalan ketika pengaturan "allow trusted domains = no" diaktifkan (para pengembang bermaksud untuk segera menerbitkan pembaruan lain dengan perbaikan tersebut). Rilis pembaruan paket dalam distribusi dapat dilacak di halaman-halaman berikut: Debian, UbuntuRHEL, SUSE, Fedora, Arch, FreeBSD.
Memperbaiki kerentanan:
- CVE-2020-25717 - Karena adanya kelemahan dalam logika pemetaan pengguna domain ke pengguna sistem lokal, pengguna domain Active Directory yang memiliki kemampuan untuk membuat akun baru di sistem mereka, yang dikelola melalui ms-DS-MachineAccountQuota, dapat memperoleh akses root ke sistem lain di dalam domain. domain.
- CVE-2021-3738 adalah Penggunaan setelah akses gratis dalam implementasi server Samba AD DC RPC (dsdb), yang berpotensi menyebabkan peningkatan hak istimewa saat memanipulasi koneksi.
- CVE-2016-2124 - Koneksi klien yang dibuat menggunakan protokol SMB1 dapat dialihkan untuk meneruskan parameter otentikasi dalam teks yang jelas atau melalui NTLM (misalnya, untuk menentukan kredensial selama serangan MITM), bahkan jika pengguna atau aplikasi memiliki pengaturan yang ditentukan untuk wajib otentikasi melalui Kerberos.
- CVE-2020-25722 β Pengontrol domain Direktori Aktif berbasis Samba tidak melakukan pemeriksaan akses yang tepat pada data yang disimpan, sehingga memungkinkan pengguna mana pun untuk melewati pemeriksaan otoritas dan sepenuhnya membahayakan domain.
- CVE-2020-25718 β pengontrol domain Direktori Aktif berbasis Samba tidak mengisolasi dengan benar tiket Kerberos yang dikeluarkan oleh RODC (Pengontrol domain hanya-baca), yang dapat digunakan untuk mendapatkan tiket administrator dari RODC tanpa izin untuk melakukannya.
- CVE-2020-25719 β Pengontrol domain Direktori Aktif berbasis Samba tidak selalu memperhitungkan bidang SID dan PAC di tiket Kerberos (saat menyetel βgensec:require_pac = trueβ, hanya nama yang dicentang, dan PAC tidak diambil ke dalam akun), yang memungkinkan pengguna , yang memiliki hak untuk membuat akun di sistem lokal, meniru identitas pengguna lain di domain, termasuk pengguna yang memiliki hak istimewa.
- CVE-2020-25721 β Untuk pengguna yang diautentikasi menggunakan Kerberos, pengidentifikasi Direktori Aktif unik (objectSid) tidak selalu dikeluarkan, yang dapat menyebabkan persinggungan antara satu pengguna dan pengguna lainnya.
- CVE-2021-23192 - Selama serangan MITM, fragmen dalam permintaan DCE/RPC besar dapat dipecah menjadi beberapa bagian.
Sumber: opennet.ru
