Janë publikuar patch-et e Samba-s 4.15.2, 4.14.10 dhe 4.13.14, të cilat adresojnë tetë dobësi, shumica e të cilave mund të çojnë në kompromentim të plotë të një domeni të Active Directory. Vlen të përmendet se një nga problemet është patch-uar që nga viti 2016 dhe pesë që nga viti 2020. Megjithatë, një patch pengoi ekzekutimin e winbindd kur ishte aktivizuar cilësimi "allow trusted domens = no" (zhvilluesit synojnë të publikojnë menjëherë një përditësim tjetër me rregullimin). Lëshimi i përditësimeve të paketave në shpërndarje mund të gjurmohet në faqet e mëposhtme: Debian, Ubuntu, RHEL, SUSE, Fedora, Arch, FreeBSD.
Dobësitë e rregulluara:
- CVE-2020-25717 - Për shkak të një defekti në logjikën për lidhjen e përdoruesve të domenit me përdoruesit e sistemit lokal, një përdorues i domenit Active Directory me aftësinë për të krijuar llogari të reja në sistemin e tij, të menaxhuara përmes ms-DS-MachineAccountQuota, mund të fitonte akses rrënjësor në sisteme të tjera brenda domenit. domeni.
- CVE-2021-3738 - Një dobësi "use-after-free" në implementimin e serverit RPC të Samba AD DC (dsdb) mund të çojë potencialisht në përshkallëzim të privilegjeve gjatë manipulimit të konfigurimit të lidhjes.
- CVE-2016-2124 - Lidhjet e klientëve të krijuara duke përdorur protokollin SMB1 mund të ridrejtohen në autentifikim me tekst të qartë ose NTLM (p.sh., për të përcaktuar kredencialet për sulmet njeri-në-mes), edhe nëse përdoruesi ose aplikacioni është konfiguruar të kërkojë autentifikim Kerberos.
- CVE-2020-25722 — Një kontrollues domeni Active Directory i bazuar në Samba nuk kreu kontrolle të duhura të aksesit në të dhënat e ruajtura, duke i lejuar çdo përdoruesi të anashkalonte kontrollet e lejeve dhe të kompromentonte plotësisht domenin.
- CVE-2020-25718 — Një kontrollues domeni Active Directory i bazuar në Samba nuk i izoloi siç duhet biletat Kerberos të lëshuara nga një kontrollues domeni vetëm për lexim (RODC), të cilat mund të përdoren për të marrë bileta administratori nga RODC pa autorizim.
- CVE-2020-25719 — Një kontrollues domeni Active Directory i bazuar në Samba nuk i merrte gjithmonë në konsideratë fushat SID dhe PAC në biletat Kerberos (kur vendosej "gensec:require_pac = true", kontrollohej vetëm emri dhe PAC nuk merrej në konsideratë), gjë që i lejonte një përdoruesi me të drejtë të krijonte llogari në sistemin lokal të imitonte një përdorues tjetër në domen, përfshirë një të privilegjuar.
- CVE-2020-25721 – Përdoruesve të autentifikuar nga Kerberos nuk u janë lëshuar gjithmonë identifikues unikë të Active Directory (objectSid), gjë që mund të çojë në mbivendosje përdorues-me-përdorues.
- CVE-2021-23192 - Një sulm njeri-në-mes mund të falsifikojë fragmente në kërkesa të mëdha DCE/RPC që janë të ndara në pjesë të shumëfishta.
Burimi: opennet.ru
