Opublikowano poprawki dla pakietu Samba 4.15.2, 4.14.10 i 4.13.14, usuwające 8 podatności, z których większość może prowadzić do pełnej kompromitacji domeny Active Directory. Warto zauważyć, że jeden z problemów był naprawiany od 2016 roku, a pięć od 2020 roku, jednak jedna poprawka spowodowała, że uruchomienie winbindd stało się niemożliwe przy ustawieniu „allow trusted domains = no” (deweloperzy zamierzają szybko opublikować kolejną aktualizację z poprawką). Wydanie aktualizacji pakietów w dystrybucjach można śledzić na stronach: Debian, Ubuntu, RHEL, SUSE, Fedora, Arch, FreeBSD.
Usunięte podatności:
- CVE-2020-25717 – z powodu niedopatrzenia w logice mapowania użytkowników domeny z użytkownikami lokalnymi, użytkownik domeny Active Directory, mający możliwość tworzenia nowych kont na swoim systemie, zarządzanych przez ms-DS-MachineAccountQuota, mógł zyskać dostęp z uprawnieniami root do innych systemów, należących do domenę.
- CVE-2021-3738 – dostęp do już zwolnionego obszaru pamięci (Use after free) w implementacji serwera RPC Samba AD DC (dsdb), co może potencjalnie prowadzić do eskalacji uprawnień podczas manipulacji połączeniami.
- CVE-2016-2124 – połączenia klienckie ustanawiane za pomocą protokołu SMB1 mogły być przekierowywane do przesyłania parametrów uwierzytelniających w postaci czystego tekstu lub przez NTLM (na przykład w celu określenia poświadczeń podczas ataków MITM), nawet jeśli obowiązkowe uwierzytelnianie przez Kerberos było określone dla użytkownika lub aplikacji w ustawieniach.
- CVE-2020-25722 – w kontrolerze domeny Active Directory opartym na Sambie nie były wykonywane odpowiednie kontrole dostępu do przechowywanych danych, co pozwalało każdemu użytkownikowi obejść kontrole uprawnień i całkowicie skompromitować domenę.
- CVE-2020-25718 – w kontrolerze domeny Active Directory opartym na Sambie nie izolowano poprawnie biletów Kerberos wydanych przez RODC (Read-only Domain Controller), co mogło być wykorzystywane do uzyskania biletów administratora z RODC bez posiadania do tego uprawnień.
- CVE-2020-25719 – kontroler domeny Active Directory oparty na Sambie nie zawsze uwzględniał w relacji pola SID i PAC w biletach Kerberos (przy ustawieniu „gensec:require_pac = true” sprawdzano tylko nazwę, a PAC nie był brany pod uwagę), co pozwalało użytkownikowi, który ma prawo tworzyć konta w systemie lokalnym, podszyć się pod innego użytkownika w domenie, w tym pod użytkownika uprzywilejowanego.
- CVE-2020-25721 — dla użytkowników, którzy przeszli uwierzytelnienie za pomocą Kerberos, nie zawsze przydzielano unikalne identyfikatory dla Active Directory (objectSid), co mogło prowadzić do kolizji pomiędzy użytkownikami.
- CVE-2021-23192 — podczas ataku MITM istniała możliwość podmiany fragmentów w dużych zapytaniach DCE/RPC, dzielonych na kilka części.
Źródło: opennet.ru
