Các bản vá Samba 4.15.2, 4.14.10 và 4.13.14 đã được phát hành, khắc phục tám lỗ hổng, hầu hết trong số đó có thể dẫn đến việc xâm phạm hoàn toàn một miền Active Directory. Đáng chú ý, một trong những vấn đề đã được vá từ năm 2016 và năm vấn đề khác từ năm 2020. Tuy nhiên, một bản vá đã ngăn winbindd chạy khi cài đặt "cho phép các miền đáng tin cậy = không" được bật (các nhà phát triển dự định sẽ sớm phát hành một bản cập nhật khác để sửa lỗi này). Việc phát hành các bản cập nhật gói trong các bản phân phối có thể được theo dõi trên các trang sau: Debian, UbuntuRHEL, SUSE, Fedora, Arch, FreeBSD.
Đã sửa lỗi lỗ hổng:
- CVE-2020-25717 - Do lỗi trong logic ánh xạ người dùng miền sang người dùng hệ thống cục bộ, người dùng miền Active Directory có khả năng tạo tài khoản mới trên hệ thống của họ, được quản lý thông qua ms-DS-MachineAccountQuota, có thể giành được quyền truy cập root vào các hệ thống khác trong miền. tên miền.
- CVE-2021-3738 là Sử dụng sau khi truy cập miễn phí trong triển khai máy chủ Samba AD DC RPC (dsdb), có khả năng dẫn đến việc leo thang đặc quyền khi thao tác kết nối.
- CVE-2016-2124 - Các kết nối máy khách được thiết lập bằng giao thức SMB1 có thể được chuyển sang truyền tham số xác thực ở dạng văn bản rõ ràng hoặc qua NTLM (ví dụ: để xác định thông tin xác thực trong các cuộc tấn công MITM), ngay cả khi người dùng hoặc ứng dụng có cài đặt được chỉ định cho bắt buộc xác thực thông qua Kerberos.
- CVE-2020-25722 – Bộ điều khiển miền Active Directory dựa trên Samba đã không thực hiện kiểm tra quyền truy cập thích hợp vào dữ liệu được lưu trữ, cho phép bất kỳ người dùng nào bỏ qua kiểm tra quyền và xâm phạm hoàn toàn miền.
- CVE-2020-25718 – Bộ điều khiển miền Active Directory dựa trên Samba đã không cách ly chính xác các vé Kerberos do RODC (bộ điều khiển miền chỉ đọc) cấp. Điều này có thể được sử dụng để lấy vé quản trị viên từ RODC mà không được phép làm như vậy.
- CVE-2020-25719 – Bộ điều khiển miền Active Directory dựa trên Samba không phải lúc nào cũng tính đến các trường SID và PAC trong vé Kerberos (khi cài đặt “gensec:require_pac = true”, chỉ có tên được chọn và PAC không được lấy vào tài khoản), cho phép người dùng, người có quyền tạo tài khoản trên hệ thống cục bộ, mạo danh người dùng khác trong miền, bao gồm cả người dùng có đặc quyền.
- CVE-2020-25721 – Đối với những người dùng được xác thực bằng Kerberos, mã nhận dạng Active Directory duy nhất (objectSid) không phải lúc nào cũng được cấp, điều này có thể dẫn đến sự giao thoa giữa người dùng này và người dùng khác.
- CVE-2021-23192 - Trong cuộc tấn công MITM, có thể giả mạo các đoạn trong các yêu cầu DCE/RPC lớn được chia thành nhiều phần.
Nguồn: opennet.ru
