Nedávno bylo oznámeno vydání různých opravných verzí Samby 4.16.4, 4.15.9 a 4.14.14, oprava 5 chyb zabezpečení (CVE-2022-2031, CVE-2022-32742, CVE-2022-32744, CVE-2022-32745 y CVE-2022-32746).
O čemž je zmíněno, že nejnebezpečnější zranitelnost je (CVE-2022-32744), od té doby povolit uživatelům domény Active Directory změnit heslo libovolného uživatele, včetně možnosti změnit heslo správce a převzít plnou kontrolu nad doménou. Problém je v tom, že KDC přijímá zašifrované požadavky kpasswd s jakýmkoli známým klíčem.
Tato chyba zabezpečení by mohl být zneužit, když útočník, který má přístup k doméně, může odeslat falešný požadavek na nové heslo jménem jiného uživatele, zašifrování pomocí vašeho vlastního klíče a KDC jej zpracuje, aniž by ověřovalo, zda se klíč účtu shoduje. To zahrnuje použití klíčů řadiče domény pouze pro čtení (RODC), které nemají oprávnění měnit hesla za účelem odesílání falešných požadavků.
Jako náhradní řešení můžete zakázat podporu protokolu kpasswd přidáním řádku „kpasswd port=0“ do smb.conf.
Další zranitelnost která byla vyřešena a na kterou byla také kladena zvláštní pozornost, byla v CVE-2022-32742od této závady unikly informace o obsahu paměti serveru manipulací s protokolem SMB1.
To znamená, že klient SMB1, který má přístup ke sdílenému úložišti pro zápis, může zajistit zápis částí paměti procesu serveru do souboru nebo tiskárny. Útok se provádí odesláním požadavku "zápis" s nesprávným rozsahem. Problém se týká pouze větví Samba před verzí 4.11 (podpora SMB1 je ve větvi 4.11 ve výchozím nastavení zakázána).
Z dalších zranitelností, které byly opraveny s vydáním těchto nových opravných verzí jsou následující:
- CVE-2022-32746: Uživatelé služby Active Directory mohou odesláním speciálně vytvořených požadavků LDAP „přidat“ nebo „upravit“ iniciovat přístup k paměti poté, co ji uvolní v procesu serveru. Problém je způsoben tím, že modul pro protokolování auditu přistupuje k obsahu zprávy LDAP poté, co databázový modul uvolní paměť přidělenou pro zprávu. K provedení útoku je nutné mít práva k přidání nebo úpravě některých privilegovaných atributů, jako je userAccountControl.
- CVE-2022-2031- Uživatelé služby Active Directory mohou obejít některá omezení na řadiči domény. KDC a služba kpasswd mohou vzájemně dešifrovat lístky, protože sdílejí stejnou sadu klíčů a účtů. Následně může uživatel, který požádal o změnu hesla, použít přijatou vstupenku pro přístup k dalším službám.
- CVE-2022-32745- Uživatelé služby Active Directory mohou způsobit selhání procesu serveru při odesílání požadavků LDAP „přidat“ nebo „upravit“, což má za následek přístup k neinicializovaným datům.
Konečně pokud máte zájem o tom vědět více o opravených chybách můžete zkontrolovat podrobnosti v následující odkaz.
Jak nainstalovat nebo upgradovat na Sambu na Ubuntu a derivátech?
No, pro ty, kteří mají zájem o možnost nainstalovat tyto nové opravné verze Samby nebo chtějí aktualizovat svou předchozí verzi na tuto novouMohou to provést podle kroků, které sdílíme níže.
Za zmínku stojí, že ačkoli je samba součástí repozitářů Ubuntu, měli byste vědět, že balíčky se při vydání nové verze neaktualizují, takže v tomto případě raději použijeme úložiště.
První věc, kterou uděláme, je otevřít terminál a do něj napíšeme následující příkaz pro přidání úložiště do systému:
sudo add-apt-repository ppa:linux-schools/samba-latest sudo apt-get update
Jakmile je úložiště přidáno, přistoupíme k instalaci samby do systému a za tímto účelem pouze zadáme následující příkaz:
sudo apt install samba
Pokud již máte nainstalovanou předchozí verzi, bude automaticky aktualizována.