Samba 4.15.2, 4.14.10 болон 4.13.14-ийн залруулах хувилбарууд нийтлэгдсэн бөгөөд ихэнх нь Active Directory домэйныг бүрэн эвдэхэд хүргэж болзошгүй 8 эмзэг байдлыг арилгасан. Асуудлын нэг нь 2016 оноос хойш, тав нь 2020 оноос хойш засагдсан нь анхаарал татаж байгаа боловч нэг засвар нь "итгэмжлэгдсэн домэйныг зөвшөөрөх = үгүй" гэсэн тохиргоотой winbindd-ийг эхлүүлэх боломжгүй болгосон (хөгжүүлэгчид өөр нэг шинэчлэлтийг хурдан нийтлэх гэж байна. засах). Түгээлт дэх багцын шинэчлэлтүүдийн хувилбарыг Debian, Ubuntu, RHEL, SUSE, Fedora, Arch, FreeBSD гэсэн хуудсуудаас хянах боломжтой.
Тогтмол сул талууд:
- CVE-2020-25717 - Домэйн хэрэглэгчдийг локал системийн хэрэглэгчдэд буулгах логикийн алдааны улмаас ms-DS-MachineAccountQuota-аар удирддаг систем дээрээ шинэ бүртгэл үүсгэх чадвартай Active Directory домэйн хэрэглэгч үндэс олж авах боломжтой. домэйнд багтсан бусад системд хандах.
- CVE-2021-3738 нь Samba AD DC RPC серверийн хэрэгжилтэд (dsdb) үнэгүй хандалтын дараа ашиглах бөгөөд энэ нь холболтыг удирдах үед эрхийг нэмэгдүүлэхэд хүргэж болзошгүй юм.
- CVE-2016-2124 - SMB1 протоколыг ашиглан үүсгэсэн үйлчлүүлэгчийн холболтыг хэрэглэгч эсвэл аппликешн нь заавал баталгаажуулах тохиргоотой байсан ч баталгаажуулалтын параметрүүдийг тодорхой текстээр эсвэл NTLM-ээр дамжуулж (жишээ нь, MITM халдлагын үед итгэмжлэлийг тодорхойлох) горимд шилжиж болно. Kerberos-ээр дамжуулан.
- CVE-2020-25722 – Samba-д суурилсан Active Directory домэйн хянагч нь хадгалагдсан өгөгдөлд зохих хандалтын шалгалт хийгээгүй тул аливаа хэрэглэгч эрх мэдлийн шалгалтыг давж, домэйныг бүрэн эвдэх боломжийг олгосон.
- CVE-2020-25718 – Samba-д суурилсан Active Directory домэйн хянагч нь RODC-ээс гаргасан Kerberos тасалбаруудыг (Зөвхөн унших домэйн хянагч) зөв тусгаарлаагүй бөгөөд үүнийг зөвшөөрөлгүйгээр RODC-аас администраторын тасалбар авахад ашиглаж болно.
- CVE-2020-25719 – Samba-д суурилсан Active Directory домэйн хянагч нь Kerberos тасалбар дахь SID болон PAC талбаруудыг үргэлж анхаарч үздэггүй ("gensec:require_pac = үнэн" гэсэн тохиргоог хийх үед зөвхөн нэрийг нь шалгасан ба PAC нь тийм биш байсан. харгалзан үзсэн), энэ нь локал систем дээр бүртгэл үүсгэх эрхтэй хэрэглэгчийг домэйн дэх өөр хэрэглэгчийн, түүний дотор давуу эрхтэй хэрэглэгчийн дүрийг бүтээх боломжийг олгосон.
- CVE-2020-25721 – Kerberos ашиглан баталгаажуулсан хэрэглэгчдийн хувьд өвөрмөц Active Directory танигч (objectSid) үргэлж олддоггүй бөгөөд энэ нь нэг хэрэглэгч болон нөгөө хэрэглэгчийн хооронд огтлолцоход хүргэж болзошгүй юм.
- CVE-2021-23192 - MITM халдлагын үед хэд хэдэн хэсэгт хуваагдсан том DCE/RPC хүсэлтийн фрагментуудыг хууран мэхлэх боломжтой байсан.
Эх сурвалж: opennet.ru