Desenvolvedores do projeto Samba usuários, que recentemente na vulnerabilidade ZeroLogin no Windows () ) e na implementação do controlador de domínio baseado no Samba. A vulnerabilidade decorre de falhas no protocolo MS-NRPC e no algoritmo de criptografia AES-CFB8, e, quando explorada com sucesso, permite que um invasor obtenha acesso de administrador no controlador de domínio.
A essência da vulnerabilidade é que o protocolo MS-NRPC (Netlogon Remote Protocol) permite, durante a troca de dados de autenticação, reverter para um uso de conexão RPC sem criptografia. Após isso, um atacante pode explorar a brecha no algoritmo AES-CFB8 para forjar um login bem-sucedido (spoofing). Para fazer login com direitos de administrador, em média são necessárias cerca de 256 tentativas de spoofing. Para realizar o ataque, não é necessária uma conta de trabalho no controlador de domínio — as tentativas de spoofing podem ser feitas usando uma senha incorreta. A solicitação de autenticação através de NTLM será redirecionada para o controlador de domínio, que retornará uma negação de acesso, mas o atacante pode falsificar essa resposta, e o sistema atacado considerará a entrada bem-sucedida.
No Samba, a vulnerabilidade se manifesta apenas em sistemas que não usam a configuração "server schannel = yes", que desde o Samba 4.8 é padrão. Em particular, sistemas com as configurações "server schannel = no" e "server schannel = auto" estão comprometidos, pois permitem ao Samba usar as mesmas falhas no algoritmo AES-CFB8 que o Windows.
Ao usar um protótipo de exploit preparado para o Windows ). As tentativas de ataque aos sistemas podem ser rastreadas através da análise da presença de registros mencionando ServerAuthenticate3 e ServerPasswordSet nos logs de auditoria do Samba., , , Os desenvolvedores do projeto Samba alertaram os usuários que recentemente
Fonte: opennet.ru
