onlangs fix-pakketupdates zijn uitgebracht voor verschillende Samba-versies, welke waren de versies? 4.15.2 en 4.14.10 4.13.14, hebben ze wijzigingen doorgevoerd die de eliminatie van 8 kwetsbaarheden omvatten, waarvan de meeste kunnen leiden tot een volledige inbreuk op het Active Directory-domein.
Opgemerkt moet worden dat een van de problemen in 2016 is opgelost en vijf vanaf 2020, hoewel één oplossing ertoe leidde dat winbindd niet kon worden uitgevoerd in de aanwezigheidsinstellingen «vertrouwde domeinen toestaan = nee»(De ontwikkelaars zijn van plan om onmiddellijk een nieuwe update uit te brengen voor reparatie).
Deze functies kunnen in verkeerde handen behoorlijk gevaarlijk zijn, aangezien de gebruiker qDegene die dergelijke accounts aanmaakt, heeft uitgebreide privileges, niet alleen om ze te maken en hun wachtwoorden instellen, maar om ze op een later tijdstip te hernoemen met de enige beperking is dat ze mogelijk niet overeenkomen met een bestaande samAccountName.
Wanneer Samba optreedt als lid van het AD-domein en een Kerberos-ticket accepteert, moet het: wijs de daar gevonden informatie toe aan een lokaal UNIX-gebruikers-ID (uid). Dit wordt momenteel gedaan via accountnaam in Active Directory Gegenereerd Kerberos Privileged Attribute Certificate (PAC), of de accountnaam op ticket (als er geen PAC is).
Samba zal bijvoorbeeld proberen een gebruiker "DOMAIN \ user" te vinden voordat toevlucht nemen tot het proberen om de gebruiker "gebruiker" te vinden. Als het zoeken naar DOMAIN \ user kan mislukken, dan is een privilege klimmen is mogelijk.
Voor degenen die niet bekend zijn met Samba, weet dat dit een project is dat de ontwikkeling van de Samba 4.x-tak voortzet met een volledige implementatie van een domeincontroller en Active Directory-service, compatibel met Windows 2000-implementatie en geschikt voor alle versies van Windows clients ondersteund door Microsoft, inclusief Windows 10.
Samba 4 is een multifunctioneel serverproduct, die ook zorgt voor de implementatie van een bestandsserver, printservice en authenticatieserver (winbind).
Van de kwetsbaarheden die in de uitgebrachte updates zijn verholpen, worden de volgende genoemd:
- CVE-2020-25717- Vanwege een fout in de logica van het toewijzen van domeingebruikers aan lokale systeemgebruikers, kan een Active Directory-domeingebruiker die de mogelijkheid heeft om nieuwe accounts op zijn systeem te maken, beheerd via ms-DS-MachineAccountQuota, roottoegang krijgen tot andere inbegrepen systemen in het domein.
- CVE-2021-3738- Toegang tot een geheugengebied dat al is vrijgemaakt (Gebruik na gratis) in de Samba AD DC RPC (dsdb)-serverimplementatie, wat mogelijk kan leiden tot escalatie van bevoegdheden bij het manipuleren van verbindingsinstellingen.
CVE-2016-2124- Clientverbindingen die tot stand zijn gebracht met het SMB1-protocol kunnen worden doorgegeven aan het verzenden van authenticatieparameters in platte tekst of met behulp van NTLM (bijvoorbeeld om referenties voor MITM-aanvallen te bepalen), zelfs als de gebruiker of toepassing is geconfigureerd als authenticatie Verplicht via Kerberos. - CVE-2020-25722- Er werden geen adequate opslagtoegangscontroles uitgevoerd op een Samba-gebaseerde Active Directory-domeincontroller, waardoor elke gebruiker de referenties kon omzeilen en het domein volledig kon compromitteren.
- CVE-2020-25718- Kerberos-tickets die zijn uitgegeven door de RODC (alleen-lezen domeincontroller) zijn niet correct geïsoleerd naar de Samba-gebaseerde Active Directory-domeincontroller, die kan worden gebruikt om beheerderstickets van de RODC te verkrijgen zonder de bevoegdheid om dat te doen.
- CVE-2020-25719- Samba-gebaseerde Active Directory-domeincontroller hield niet altijd rekening met SID- en PAC-velden in Kerberos-tickets in pakket (bij instelling "gensec: required_pac = true", alleen naam en PAC werden niet in aanmerking genomen), waardoor de gebruiker, die het recht om accounts op het lokale systeem aan te maken, om zich voor te doen als een andere domeingebruiker, inclusief een bevoorrechte.
- CVE-2020-25721: Voor gebruikers die zijn geverifieerd met Kerberos, werden niet altijd unieke id's voor Active Directory (objectSid) uitgegeven, wat zou kunnen leiden tot kruisingen tussen gebruikers en gebruikers.
- CVE-2021-23192- Tijdens de MITM-aanval was het mogelijk om fragmenten te vervalsen in grote DCE/RPC-verzoeken die in meerdere delen waren opgesplitst.
Tot slot, als u er meer over wilt weten, kunt u de details raadplegen in de volgende link.