Kritisk Samba-fejl kunne lade enhver blive domæneadministrator – patch nu!

Samba er et udbredt open source-værktøjssæt, der ikke kun gør det nemt for Linux- og Unix-computere at tale med Windows-netværk, men som også lader dig hoste et Windows-stil Active Directory-domæne uden Windows-servere overhovedet.

Navnet, hvis du nogensinde har undret dig, er en glad-klingende og let-at-sige afledning fra SMB, en forkortelse for Server Message Block, en proprietær fildelingsprotokol, der går langt tilbage til begyndelsen af ​​1980'erne.

Enhver med en lang nok hukommelse vil huske, sandsynligvis uden en enorm mængde af kærlighed, at tilslutte OS/2-computere for at dele filer ved hjælp af SMB over NetBIOS.

Samba startede livet i begyndelsen af ​​1990'erne takket være det hårde arbejde fra den australske open source-pioner Andrew Tridgell, som ud fra de første principper fandt ud af, hvordan SMB fungerede, så han kunne implementere en kompatibel version til Unix, mens han havde travlt med sin ph.d. på Australian National Universitet.

(Tridges ph.d. var det i øvrigt rsync, et andet softwareværktøj, du har sandsynligvis brugt i en eller anden form, selvom du ikke er klar over det.)

SMB blev til CIFS, den Fælles internetfilsystem, da den blev offentliggjort af Microsoft i 1996, og siden har affødt SMB 2 og SMB 3, som stadig er proprietære netværksprotokoller, men med specifikationer, der er officielt offentliggjort, så værktøjer som Samba ikke længere skal være afhængige af reverse engineering og gætværk for at give kompatible implementeringer.

Som du kan forestille dig, betyder Sambas anvendelighed, at den er meget brugt i Linux- og Unix-verdenen, inklusive internt, i skyen og endda på netværkshardware såsom hjemmeroutere og NAS-enheder.

(NAS er en forkortelse for netværk vedhæftet opbevaring, typisk en kasse fuld af harddiske, som du tilslutter dit LAN, og som automatisk vises som en filserver, som alle dine andre computere har adgang til.)

Print dit eget pas!

Samba er netop blevet opdateret til at rette en række sikkerhedssårbarheder, herunder en kritisk fejl relateret til nulstilling af adgangskode.

Som beskrevet i det seneste Samba release notes, er der seks CVE-nummererede fejl rettet, inklusive disse fem...

…sammen med denne, som er den mest alvorlige af partiet, som du umiddelbart vil se fra fejlbeskrivelsen:

I teorien er CVE-2022-32744 fejl kan udnyttes af enhver bruger på netværket.

Løst sagt kunne angribere skændes med Sambas adgangskodeskiftetjeneste, kendt som kpasswd, gennem en række mislykkede forsøg på at ændre adgangskode...

…indtil den endelig accepterede en anmodning om ændring af adgangskode som blev godkendt af angriberne selv.

I slang-termer er det, hvad man kan kalde en Print dit eget pas (PYOP) angreb, hvor du bliver bedt om at bevise din identitet, men er i stand til at gøre det ved at præsentere et "officielt" dokument, som du selv har oprettet.

Den hellige treenighed af cybersikkerhed

Som Samba-fejlrapporten udtrykker det (vores fremhævelse):

Billetter modtaget af kpasswd tjenesten blev dekrypteret uden at specificere, at kun den pågældende tjenestes egne nøgler skulle prøves. Ved at indstille billettens servernavn til en principal tilknyttet deres egen konto, eller ved at udnytte en fallback, hvor kendte nøgler ville blive prøvet, indtil en passende blev fundet, en angriber kunne få serveren til at acceptere billetter krypteret med en hvilken som helst nøgle, inklusive deres egen.

En bruger kunne således ændre adgangskoden til administratorkontoen og få total kontrol over domænet. Fuldstændig tab af fortrolighed og integritet ville være muligt såvel som tilgængelighed ved at nægte brugere adgang til deres konti.

Som du vil huske fra næsten enhver cybersikkerhedsintroduktion, du nogensinde har set, tilgængelighed, fortrolighed , integritet er computersikkerhedens "hellige treenighed".

Disse tre principper er beregnet til at sikre: at du alene kan se dine private data (fortrolighed); at ingen andre kan rode med det, selvom de ikke selv kan læse det, uden at gøre dig opmærksom på, at det er blevet noblet (integritet); og at uautoriserede parter ikke kan forhindre dig i at få adgang til dine egne ting (tilgængelighed).

Det er klart, at hvis nogen kan nulstille alles adgangskode (eller måske mener vi, hvis alle kan nulstille nogens adgangskode), gælder ingen af ​​disse sikkerhedsegenskaber, fordi angribere kan komme ind på din konto, ændre dine filer og låse dig ude.

Hvad skal jeg gøre?

Samba kommer i tre understøttede varianter: nuværende, tidligere og tidligere.

De opdateringer, du ønsker, er som følger:

• Hvis du bruger version 4.16, opdatering fra 4.16.3 eller tidligere til 4.16.4
• Hvis du bruger version 4.15, opdatering fra 4.15.8 eller tidligere til 4.15.9
• Hvis du bruger version 4.14, opdatering fra 4.14.13 eller tidligere til 4.14.14

Hvis du ikke kan opdatere, kan nogle af de fejl, der er anført ovenfor, afhjælpes med konfigurationsændringer, selvom nogle af disse ændringer deaktiverer funktionalitet, som dit netværk kan stole på, hvilket ville forhindre dig i at bruge disse særlige løsninger.

Derfor, som altid: Patch tidligt, patch ofte!

Hvis du bruger en Linux- eller BSD-distro, der leverer Samba som en installerbar pakke, bør du allerede have (eller snart modtage) en opdatering via din distros pakkehåndtering; for netværksenheder såsom NAS-bokse, kontakt din leverandør for detaljer.

---