Rilis korektif paket Samba 4.15.2, 4.14.10 dan 4.13.14 telah diterbitkan dengan penghapusan 8 kerentanan, yang sebagian besar dapat menyebabkan kompromi total pada domain Direktori Aktif. Patut dicatat bahwa salah satu masalah telah diperbaiki sejak tahun 2016, dan lima masalah sejak tahun 2020, namun, satu perbaikan membuat peluncuran winbindd tidak mungkin dilakukan dengan pengaturan “izinkan domain tepercaya = tidak” (pengembang bermaksud untuk segera menerbitkan pembaruan lain dengan a memperbaiki). Rilis pembaruan paket dalam distribusi dapat dilacak di halaman: Debian, Ubuntu, RHEL, SUSE, Fedora, Arch, FreeBSD.
Memperbaiki kerentanan:
- CVE-2020-25717 - karena cacat dalam logika pemetaan pengguna domain ke pengguna sistem lokal, pengguna domain Direktori Aktif yang memiliki kemampuan untuk membuat akun baru di sistemnya, dikelola melalui ms-DS-MachineAccountQuota, dapat memperoleh root akses ke sistem lain yang termasuk dalam domain.
- CVE-2021-3738 adalah Penggunaan setelah akses gratis dalam implementasi server Samba AD DC RPC (dsdb), yang berpotensi menyebabkan peningkatan hak istimewa saat memanipulasi koneksi.
- CVE-2016-2124 - Koneksi klien yang dibuat menggunakan protokol SMB1 dapat dialihkan untuk meneruskan parameter otentikasi dalam teks yang jelas atau melalui NTLM (misalnya, untuk menentukan kredensial selama serangan MITM), bahkan jika pengguna atau aplikasi memiliki pengaturan yang ditentukan untuk wajib otentikasi melalui Kerberos.
- CVE-2020-25722 – Pengontrol domain Direktori Aktif berbasis Samba tidak melakukan pemeriksaan akses yang tepat pada data yang disimpan, sehingga memungkinkan pengguna mana pun untuk melewati pemeriksaan otoritas dan sepenuhnya membahayakan domain.
- CVE-2020-25718 – pengontrol domain Direktori Aktif berbasis Samba tidak mengisolasi dengan benar tiket Kerberos yang dikeluarkan oleh RODC (Pengontrol domain hanya-baca), yang dapat digunakan untuk mendapatkan tiket administrator dari RODC tanpa izin untuk melakukannya.
- CVE-2020-25719 – Pengontrol domain Direktori Aktif berbasis Samba tidak selalu memperhitungkan bidang SID dan PAC di tiket Kerberos (saat menyetel “gensec:require_pac = true”, hanya nama yang dicentang, dan PAC tidak diambil ke dalam akun), yang memungkinkan pengguna , yang memiliki hak untuk membuat akun di sistem lokal, meniru identitas pengguna lain di domain, termasuk pengguna yang memiliki hak istimewa.
- CVE-2020-25721 – Untuk pengguna yang diautentikasi menggunakan Kerberos, pengidentifikasi Direktori Aktif unik (objectSid) tidak selalu dikeluarkan, yang dapat menyebabkan persinggungan antara satu pengguna dan pengguna lainnya.
- CVE-2021-23192 - Selama serangan MITM, fragmen dalam permintaan DCE/RPC besar dapat dipecah menjadi beberapa bagian.
Sumber: opennet.ru