Neseniai buvo išleisti taisymo paketo naujinimai įvairioms Samba versijoms, kurios buvo versijos 4.15.2, 4.14.10 ir 4.13.14, jie įgyvendino pakeitimus, apimančius 8 pažeidžiamumų pašalinimą, kurių dauguma gali sukelti visišką Active Directory domeno kompromisą.
Pažymėtina, kad viena iš problemų buvo ištaisyta 2016 m., o penkios – nuo 2020 m., nors dėl vieno pataisymo nepavyko paleisti winbindd buvimo nustatymuose «leisti patikimus domenus = ne»(Kūrėjai ketina nedelsiant išleisti kitą atnaujinimą taisyti).
Šios funkcijos gali būti gana pavojingos netinkamose rankose, nes vartotojas qKas sukuria tokias paskyras, turi daug privilegijų ne tik jas kurti ir nustatyti jų slaptažodžius, bet vėliau juos pervardyti naudojant vienintelis apribojimas yra tas, kad jie gali neatitikti esamo samAccountName.
Kai Samba veikia kaip AD domeno narys ir priima Kerberos bilietą, jis turi susieti ten rastą informaciją su vietiniu UNIX vartotojo ID (uid). Tai šiuo metu atliekama naudojant paskyros pavadinimą „Active Directory“. Sugeneruotas Kerberos privilegijuoto požymio sertifikatas (PAC) arba sąskaitos pavadinimas biliete (jei nėra PAC).
Pavyzdžiui, Samba bandys rasti vartotoją "DOMAIN \ user" anksčiau griebiasi bandymo surasti vartotoją „vartotojas“. Jei DOMAIN \ vartotojo paieška gali nepavykti, privilegija galima lipti.
Tiems, kurie nėra susipažinę su „Samba“, prašome žinoti, kad tai yra projektas, tęsiantis „Samba 4.x“ filialo plėtrą, visiškai įdiegus domeno valdiklį ir „Active Directory“ paslaugą, suderinamą su „Windows 2000“ diegimu ir galintį aptarnauti visas „Windows“ versijas. „Microsoft“ palaikomi klientai, įskaitant „Windows 10“.
Samba 4, yra daugiafunkcinis serverio produktas, kuris taip pat suteikia failų serverio, spausdinimo paslaugos ir autentifikavimo serverio („winbind“) įgyvendinimą.
Iš pažeidžiamumų, kurie buvo pašalinti naudojant išleistus naujinimus, paminėti šie:
- CVE-2020-25717– Dėl domeno naudotojų susiejimo su vietinės sistemos naudotojais logikos trūkumo „Active Directory“ domeno vartotojas, galintis sukurti naujas paskyras savo sistemoje, valdomas per ms-DS-MachineAccountQuota, gali gauti šakninę prieigą prie kitų įtrauktų sistemų. domene.
- CVE-2021-3738- Prieiga prie jau atlaisvintos atminties srities (naudoti po laisvo) įgyvendinant „Samba AD DC RPC“ (dsdb) serverį, o tai gali sukelti privilegijų eskalavimą, kai manipuliuojama ryšio parametrais.
CVE-2016-2124- Kliento ryšiai, sukurti naudojant SMB1 protokolą, gali būti perduodami autentifikavimo parametrams paprastu tekstu arba naudojant NTLM (pavyzdžiui, norint nustatyti MITM atakų kredencialus), net jei vartotojas arba programa sukonfigūruota kaip autentifikavimo privaloma per Kerberos. - CVE-2020-25722- Tinkamos prieigos prie saugyklos patikrinimai nebuvo atlikti „Samba“ pagrindu veikiančiame „Active Directory“ domeno valdiklyje, todėl bet kuris vartotojas galėjo apeiti kredencialus ir visiškai pažeisti domeną.
- CVE-2020-25718- Kerberos bilietai, išduoti RODC (tik skaitomas domeno valdiklis), nebuvo tinkamai izoliuoti nuo Samba pagrindu veikiančio Active Directory domeno valdiklio, kuris galėtų būti naudojamas administratoriaus bilietams gauti iš RODC, neturint tam įgaliojimų.
- CVE-2020-25719- Samba pagrįstas Active Directory domeno valdiklis ne visada atsižvelgė į SID ir PAC laukus Kerberos bilietuose pakete (nustačius "gensec: request_pac = true", neatsižvelgiama tik į pavadinimą ir PAC), o tai leido vartotojui, turinčiam teisę kurti paskyras vietinėje sistemoje, apsimesti kitu domeno vartotoju, įskaitant privilegijuotąjį.
- CVE-2020-25721: Naudotojams, autentifikuotiems naudojant „Kerberos“, unikalūs „Active Directory“ identifikatoriai (objectSid) ne visada buvo išduodami, todėl gali susikirti naudotojas ir vartotojas.
- CVE-2021-23192- Per MITM ataką buvo galima suklastoti fragmentus didelėse DCE / RPC užklausose, kurios buvo padalintos į kelias dalis.
Galiausiai, jei norite sužinoti daugiau apie tai, galite sužinoti daugiau apie tai šią nuorodą.