Vor kurzem Fixpaket-Updates wurden für verschiedene Samba-Versionen veröffentlicht, welches waren die versionen 4.15.2, 4.14.10 und 4.13.14, haben sie Änderungen implementiert, die die Beseitigung von 8 Schwachstellen beinhalten, von denen die meisten zu einer vollständigen Kompromittierung der Active Directory-Domäne führen können.
Es sei darauf hingewiesen, dass eines der Probleme 2016 und fünf ab 2020 behoben wurden, obwohl ein Fix dazu führte, dass winbindd nicht in den Anwesenheitseinstellungen ausgeführt werden konnte «Vertrauenswürdige Domänen zulassen = nein»(Die Entwickler beabsichtigen, sofort ein weiteres Update zur Reparatur freizugeben).
Diese Funktionen können in den falschen Händen ziemlich gefährlich sein, da der Benutzer qWer solche Konten erstellt, hat umfangreiche Privilegien, nicht nur um sie zu erstellen und ihre Passwörter zu setzen, sie aber zu einem späteren Zeitpunkt mit umzubenennen die einzige Einschränkung besteht darin, dass sie möglicherweise nicht mit einem vorhandenen samAccountName übereinstimmen.
Wenn Samba als Mitglied der AD-Domäne agiert und ein Kerberos-Ticket akzeptiert, muss es Ordnen Sie die dort gefundenen Informationen einer lokalen UNIX-Benutzer-ID (uid) zu. Dies erfolgt derzeit über den Kontonamen in Active Directory Generiertes Kerberos Privileged Attribute Certificate (PAC) oder das Kontoname auf dem Ticket (wenn kein PAC vorhanden ist).
Zum Beispiel wird Samba versuchen, einen Benutzer "DOMAIN \ user" zu finden, bevor versuchen, den Benutzer "Benutzer" zu finden. Wenn die Suche nach DOMAIN \ user fehlschlagen kann, dann ist ein Privileg Klettern ist möglich.
Wenn Sie mit Samba nicht vertraut sind, wissen Sie bitte, dass dies ein Projekt ist, das die Entwicklung des Samba 4.x-Zweigs mit einer vollständigen Implementierung eines Domänencontrollers und eines Active Directory-Dienstes fortsetzt, die mit der Windows 2000-Implementierung kompatibel sind und alle Windows-Versionen bedienen können Von Microsoft unterstützte Clients, einschließlich Windows 10.
Samba 4 ist ein multifunktionales Serverprodukt, Dies bietet auch die Implementierung eines Dateiservers, eines Druckdienstes und eines Authentifizierungsservers (winbind).
Von den Schwachstellen, die in den veröffentlichten Updates beseitigt wurden, werden die folgenden erwähnt:
- CVE-2020-25717- Aufgrund eines Fehlers in der Logik der Zuordnung von Domänenbenutzern zu lokalen Systembenutzern kann ein Active Directory-Domänenbenutzer, der die Möglichkeit hat, neue Konten auf seinem System zu erstellen, das über ms-DS-MachineAccountQuota verwaltet wird, Root-Zugriff auf andere enthaltene Systeme erhalten in der Domäne.
- CVE-2021-3738- Zugriff auf einen bereits freigegebenen Speicherbereich (Use after free) in der Samba AD DC RPC (dsdb) Server-Implementierung, was beim Manipulieren von Verbindungseinstellungen möglicherweise zu einer Privilegieneskalation führen kann.
CVE-2016-2124- Clientverbindungen, die mit dem SMB1-Protokoll hergestellt wurden, könnten an die Übertragung von Authentifizierungsparametern im Klartext oder mithilfe von NTLM übergeben werden (z. B. um Anmeldeinformationen für MITM-Angriffe zu ermitteln), selbst wenn der Benutzer oder die Anwendung als Authentifizierung obligatorisch über Kerberos konfiguriert ist. - CVE-2020-25722- Auf einem Samba-basierten Active Directory-Domänencontroller wurden keine angemessenen Speicherzugriffsprüfungen durchgeführt, sodass Benutzer die Anmeldeinformationen umgehen und die Domäne vollständig kompromittieren können.
- CVE-2020-25718- Vom RODC (Nur-Lese-Domänencontroller) ausgestellte Kerberos-Tickets wurden nicht ordnungsgemäß auf den Samba-basierten Active Directory-Domänencontroller isoliert, der verwendet werden konnte, um Administratortickets vom RODC abzurufen, ohne die Berechtigung dazu zu haben.
- CVE-2020-25719- Samba-basierter Active Directory-Domänencontroller berücksichtigte nicht immer SID- und PAC-Felder in Kerberos-Tickets im Paket (bei Einstellung "gensec: require_pac = true" werden nur Name und PAC nicht berücksichtigt), was dem Benutzer erlaubte, der das Recht, Konten auf dem lokalen System zu erstellen, sich als einen anderen Domänenbenutzer auszugeben, einschließlich eines privilegierten.
- CVE-2020-25721: Für Benutzer, die mit Kerberos authentifiziert wurden, wurden nicht immer eindeutige Bezeichner für Active Directory (objectSid) ausgegeben, was zu Schnittstellen zwischen Benutzern und Benutzern führen konnte.
- CVE-2021-23192- Während des MITM-Angriffs war es möglich, Fragmente in großen DCE / RPC-Anfragen zu fälschen, die in mehrere Teile aufgeteilt wurden.
Wenn Sie daran interessiert sind, mehr darüber zu erfahren, können Sie die Details in einsehen den folgenden Link.