Nedavno izdana su ažuriranja paketa popravaka za različite verzije Sambe, koje su bile verzije 4.15.2, 4.14.10 i 4.13.14, implementirali su promjene koje uključuju eliminaciju 8 ranjivosti, od kojih većina može dovesti do potpunog kompromitiranja Active Directory domena.
Treba napomenuti da je jedan od problema riješen 2016. godine, a pet od 2020. godine, iako je jedan popravak rezultirao nemogućnošću pokretanja winbindd u postavkama prisutnosti «dozvoli pouzdane domene = ne»(Programeri namjeravaju odmah objaviti još jedno ažuriranje za popravku).
Ove funkcije mogu biti prilično opasne u pogrešnim rukama, jer korisnik qKo god kreira takve naloge, ima velike privilegije ne samo da ih kreira i postavite njihove lozinke, ali da ih kasnije preimenujete sa jedino ograničenje je da se možda ne podudaraju sa postojećim samAccountName.
Kada Samba djeluje kao član AD domena i prihvati Kerberos kartu, mora mapirati informacije koje se tamo nalaze u lokalni UNIX korisnički ID (uid). Ovo trenutno se vrši preko imena naloga u Active Directory Generirani Kerberos privilegirani certifikat atributa (PAC), ili naziv računa na tiketu (ako nema PAC).
Na primjer, Samba će prije pokušati pronaći korisnika "DOMAIN \ user". pribjegavajući pokušaju pronalaženja korisnika "korisnika". Ako potraga za DOMAIN \ korisnik ne uspije, onda je privilegija penjanje je moguće.
Za one koji nisu upoznati sa Sambom, trebali biste znati da je ovo projekt koji nastavlja razvoj Samba 4.x grane s potpunom implementacijom kontrolera domene i uslugom Active Directory, kompatibilan s implementacijom Windows 2000 i sposoban za usluživanje svih verzija Windows klijenata koje Microsoft podržava, uključujući Windows 10.
Samba 4, jeste multifunkcionalni serverski proizvod, koji takođe omogućava implementaciju servera datoteka, usluge ispisa i servera za potvrdu identiteta (winbind).
Od ranjivosti koje su eliminisane u objavljenim ažuriranjima, spominju se sljedeće:
- CVE-2020-25717- Zbog greške u logici mapiranja korisnika domene na korisnike lokalnog sistema, korisnik domene Active Directory koji ima mogućnost kreiranja novih naloga na svom sistemu, kojim se upravlja putem ms-DS-MachineAccountQuota, mogao bi dobiti root pristup drugim uključenim sistemima u domenu.
- CVE-2021-3738- Pristup već oslobođenoj memorijskoj oblasti (Koristi nakon oslobađanja) u implementaciji Samba AD DC RPC (dsdb) servera, što potencijalno može dovesti do eskalacije privilegija prilikom manipulisanja postavkama veze.
CVE-2016-2124- Klijentske veze uspostavljene korištenjem SMB1 protokola mogu se proslijediti na prijenos parametara autentifikacije u običnom tekstu ili korištenjem NTLM-a (na primjer, za određivanje vjerodajnica za MITM napade), čak i ako je korisnik ili aplikacija konfigurirana kao Obavezna autentikacija putem Kerberos-a. - CVE-2020-25722- Adekvatne provjere pristupa skladištu nisu obavljene na kontroleru domena Active Directory baziranom na Sambi, što je omogućilo bilo kojem korisniku da zaobiđe vjerodajnice i potpuno kompromituje domen.
- CVE-2020-25718- Kerberos tikete koje je izdao RODC (kontrolor domene samo za čitanje) nisu bile pravilno izolovane od Samba-baziranog Active Directory domenskog kontrolera, koji bi se mogao koristiti za dobijanje administratorskih tiketa od RODC-a bez ovlaštenja za to.
- CVE-2020-25719- Active Directory domenski kontroler baziran na Sambi nije uvijek uzeo u obzir SID i PAC polja u Kerberos tiketima u paketu (prilikom postavljanja "gensec: require_pac = true", samo ime i PAC nisu uzeti u obzir), što je omogućilo korisniku koji ima pravo na kreiranje naloga na lokalnom sistemu, lažno predstavljanje drugog korisnika domene, uključujući i privilegovanog.
- CVE-2020-25721: Za korisnike autentificirane pomoću Kerberos-a, jedinstveni identifikatori za Active Directory (objectSid) nisu uvijek izdavani, što bi moglo dovesti do ukrštanja korisnika i korisnika.
- CVE-2021-23192- Tokom MITM napada, bilo je moguće lažirati fragmente u velikim DCE / RPC zahtjevima koji su podijeljeni na više dijelova.
Konačno, ako ste zainteresirani da saznate više o tome, možete pogledati detalje u sljedeći link.