Tampalan Samba 4.15.2, 4.14.10 dan 4.13.14 telah diterbitkan, menangani lapan kerentanan, yang kebanyakannya boleh menyebabkan pencerobohan sepenuhnya domain Active Directory. Terutamanya, salah satu isu telah ditampal sejak 2016 dan lima sejak 2020. Walau bagaimanapun, satu tampalan menghalang winbindd daripada berjalan apabila tetapan "benarkan domain dipercayai = tidak" diaktifkan (pembangun berhasrat untuk segera menerbitkan kemas kini lain dengan pembetulan tersebut). Pengeluaran kemas kini pakej dalam pengedaran boleh dijejaki pada halaman berikut: Debian, Ubuntu, RHEL, SUSE, Fedora, Arch, FreeBSD.
Kerentanan tetap:
- CVE-2020-25717 - Disebabkan oleh kecacatan dalam logik untuk memetakan pengguna domain kepada pengguna sistem setempat, pengguna domain Active Directory dengan keupayaan untuk mencipta akaun baharu pada sistem mereka, yang diuruskan melalui ms-DS-MachineAccountQuota, boleh mendapat akses root kepada sistem lain dalam domain tersebut. domain.
- CVE-2021-3738 - Kerentanan penggunaan selepas bebas dalam pelaksanaan pelayan RPC Samba AD DC (dsdb) berpotensi membawa kepada peningkatan keistimewaan apabila memanipulasi persediaan sambungan.
- CVE-2016-2124 - Sambungan pelanggan yang diwujudkan menggunakan protokol SMB1 boleh diubah hala kepada cleartext atau pengesahan NTLM (cth., untuk menentukan kelayakan bagi serangan man-in-the-middle), walaupun pengguna atau aplikasi dikonfigurasikan untuk memerlukan pengesahan Kerberos.
- CVE-2020-25722 β Pengawal domain Active Directory berasaskan Samba tidak melakukan semakan akses yang betul pada data yang disimpan, membenarkan mana-mana pengguna memintas semakan kebenaran dan menjejaskan domain sepenuhnya.
- CVE-2020-25718 β Pengawal domain Active Directory berasaskan Samba tidak mengasingkan tiket Kerberos dengan betul yang dikeluarkan oleh pengawal domain Baca sahaja (RODC), yang boleh digunakan untuk mendapatkan tiket pentadbir daripada RODC tanpa kebenaran.
- CVE-2020-25719 β Pengawal domain Active Directory berasaskan Samba tidak selalu mempertimbangkan medan SID dan PAC dalam tiket Kerberos (apabila menetapkan "gensec:require_pac = true", hanya nama telah disemak dan PAC tidak dipertimbangkan), yang membenarkan pengguna yang mempunyai hak untuk membuat akaun pada sistem tempatan untuk menyamar sebagai pengguna yang lain dalam domain tersebut.
- CVE-2020-25721 β Pengguna yang disahkan Kerberos tidak selalu mengeluarkan pengecam Direktori Aktif yang unik (objectSid), yang boleh menyebabkan pertindihan pengguna dengan pengguna.
- CVE-2021-23192 - Serangan man-in-the-middle boleh memalsukan serpihan dalam permintaan DCE/RPC besar yang dibahagikan kepada beberapa bahagian.
Sumber: opennet.ru
