8 פגיעות מסוכנות שתוקנו בסמבה

פורסמו תיקוני Samba 4.15.2, 4.14.10 ו-4.13.14, המטפלים בשמונה פגיעויות, שרובן עלולות להוביל לפגיעה מוחלטת בדומיין של Active Directory. ראוי לציין שאחת הבעיות תוקנה מאז 2016, וחמש מאז 2020. עם זאת, תיקון אחד מנע מ-winbindd לפעול כאשר הוגדרה ההגדרה "אפשר דומיינים מהימנים = לא" (המפתחים מתכוונים לפרסם בהקדם עדכון נוסף עם התיקון). ניתן לעקוב אחר פרסום עדכוני החבילות בהפצות בדפים הבאים: Debian, Ubuntu, RHEL, SUSE, פדורה, ארצ', FreeBSD.

פגיעויות מתוקנות:

• CVE-2020-25717 - עקב פגם בלוגיקה של מיפוי משתמשי דומיין למשתמשי מערכת מקומיים, משתמש דומיין של Active Directory עם היכולת ליצור חשבונות חדשים במערכת שלו, המנוהלים דרך ms-DS-MachineAccountQuota, עלול לקבל גישת root למערכות אחרות בתוך הדומיין. שם תחום.
• CVE-2021-3738 הוא שימוש לאחר גישה חופשית ביישום שרת Samba AD DC RPC (dsdb), שעלול להוביל להסלמה של הרשאות בעת מניפולציה של חיבורים.
• CVE-2016-2124 - חיבורי לקוח שנוצרו באמצעות פרוטוקול SMB1 יכולים לעבור להעברת פרמטרי אימות בטקסט ברור או באמצעות NTLM (לדוגמה, כדי לקבוע אישורים במהלך התקפות MITM), גם אם למשתמש או לאפליקציה יש את ההגדרות שצוינו אימות חובה דרך Kerberos.
• CVE-2020-25722 – בקר תחום Active Directory מבוסס Samba לא ביצע בדיקות גישה נאותות לנתונים מאוחסנים, מה שאפשר לכל משתמש לעקוף בדיקות סמכות ולסכן לחלוטין את התחום.
• CVE-2020-25718 – בקר התחום של Active Directory מבוסס Samba לא בודד כראוי כרטיסי Kerberos שהונפקו על ידי RODC (בקר תחום לקריאה בלבד), אשר ניתן להשתמש בהם כדי להשיג כרטיסים של מנהל מערכת מה-RODC ללא הרשאה לעשות זאת.
• CVE-2020-25719 – בקר התחום Active Directory מבוסס Samba לא תמיד לקח בחשבון את שדות SID ו-PAC בכרטיסי Kerberos (כאשר הגדרת "gensec:require_pac = true", רק השם נבדק, וה-PAC לא היה נלקח בחשבון), מה שאפשר למשתמש, בעל הזכות ליצור חשבונות במערכת המקומית, להתחזות למשתמש אחר בדומיין, כולל מיוחס.
• CVE-2020-25721 – עבור משתמשים שאומתו באמצעות Kerberos, לא תמיד הונפק מזהה Active Directory ייחודי (objectSid), מה שעלול להוביל לצמתים בין משתמש אחד למשנהו.
• CVE-2021-23192 - במהלך מתקפת MITM, ניתן היה לזייף קטעים בבקשות DCE/RPC גדולות מפוצלות למספר חלקים.

מקור: OpenNet.ru