Samba 4.15.2, 4.14.10 және 4.13.14 патчтары жарияланды, олар сегіз осалдықты шешті, олардың көпшілігі Active Directory доменінің толық бұзылуына әкелуі мүмкін. Атап айтқанда, мәселелердің бірі 2016 жылдан бастап, ал бесеуі 2020 жылдан бастап патчталған. Дегенмен, бір патч «сенімді домендерге рұқсат беру = жоқ» параметрі орнатылған кезде winbindd бағдарламасының іске қосылуына кедергі келтірді (әзірлеушілер түзетумен бірге тағы бір жаңартуды дереу жариялауды жоспарлап отыр). Дистрибутивтердегі пакет жаңартуларының шығарылымын келесі беттерден бақылауға болады: Debian, Ubuntu, RHEL, SUSE, Fedora, Arch, FreeBSD.
Бекітілген осалдықтар:
- CVE-2020-25717 - Домен пайдаланушыларын жергілікті жүйе пайдаланушыларымен байланыстыру логикасындағы кемшілікке байланысты, ms-DS-MachineAccountQuota арқылы басқарылатын, өз жүйесінде жаңа тіркелгілер жасау мүмкіндігі бар Active Directory домен пайдаланушысы домен ішіндегі басқа жүйелерге root қатынасын ала алады. домен.
- CVE-2021-3738 - Samba AD DC (dsdb) RPC серверін іске асырудағы тегін пайдалану осалдығы қосылымды орнатуды басқару кезінде артықшылықты арттыруға әкелуі мүмкін.
- CVE-2016-2124 - SMB1 протоколы арқылы орнатылған клиенттік қосылымдарды пайдаланушы немесе қолданба Kerberos аутентификациясын талап ететіндей конфигурацияланған болса да, таза мәтінге немесе NTLM аутентификациясына (мысалы, ортадағы адам шабуылдары үшін тіркелгі деректерін анықтау үшін) қайта бағыттауға болады.
- CVE-2020-25722 — Samba негізіндегі Active Directory домен контроллері сақталған деректерге дұрыс қатынасу тексерулерін орындамады, бұл кез келген пайдаланушыға рұқсат тексерулерін айналып өтуге және доменді толығымен бұзуға мүмкіндік берді.
- CVE-2020-25718 — Samba негізіндегі Active Directory домен контроллері тек оқуға арналған домен контроллері (RODC) шығарған Kerberos билеттерін тиісті түрде оқшауламады, ол рұқсатсыз RODC-тен әкімші билеттерін алу үшін пайдаланылуы мүмкін.
- CVE-2020-25719 — Samba негізіндегі Active Directory домен контроллері Kerberos билеттеріндегі SID және PAC өрістерін әрқашан қарастырмайды («gensec:require_pac = шын» параметрін орнату кезінде тек атау ғана тексерілді, ал PAC ескерілмеді), бұл жергілікті жүйеде тіркелгілер жасау құқығы бар пайдаланушыға домендегі басқа пайдаланушыны қоса, басқа пайдаланушының кейпін көрсетуге мүмкіндік берді.
- CVE-2020-25721 – Kerberos аутентификациясы бар пайдаланушыларға әрқашан бірегей Active Directory идентификаторлары (objectSid) берілмейді, бұл пайдаланушыдан пайдаланушының қабаттасуына әкелуі мүмкін.
- CVE-2021-23192 - «Ортадағы адам» шабуылы бірнеше бөлікке бөлінген үлкен DCE/RPC сұрауларындағы фрагменттерді бұрмалауы мүмкін.
Ақпарат көзі: opennet.ru
