Το κρίσιμο σφάλμα Samba θα μπορούσε να επιτρέψει σε οποιονδήποτε να γίνει Διαχειριστής Τομέα – διορθώστε τώρα!

Το Samba είναι μια ευρέως χρησιμοποιούμενη εργαλειοθήκη ανοιχτού κώδικα που όχι μόνο διευκολύνει τους υπολογιστές Linux και Unix να συνομιλούν με δίκτυα Windows, αλλά σας επιτρέπει επίσης να φιλοξενείτε έναν τομέα Active Directory τύπου Windows χωρίς καθόλου διακομιστές Windows.

Το όνομα, σε περίπτωση που αναρωτηθήκατε ποτέ, είναι μια χαρούμενη και ευκολονόητη προέλευση από το SMB, συντομογραφία για Server Message Block, ένα ιδιόκτητο πρωτόκολλο κοινής χρήσης αρχείων που χρονολογείται από τις αρχές της δεκαετίας του 1980.

Οποιοσδήποτε έχει αρκετά μεγάλη μνήμη θα θυμηθεί, πιθανώς χωρίς τεράστια αγάπη, να συνδέσει υπολογιστές OS/2 για κοινή χρήση αρχείων χρησιμοποιώντας SMB μέσω NetBIOS.

Ο Samba ξεκίνησε τη ζωή του στις αρχές της δεκαετίας του 1990 χάρη στη σκληρή δουλειά του Αυστραλού πρωτοπόρου ανοιχτού κώδικα Andrew Tridgell, ο οποίος κατάλαβε από τις πρώτες αρχές πώς λειτουργούσε το SMB ώστε να μπορούσε να εφαρμόσει μια συμβατή έκδοση για το Unix ενώ ήταν απασχολημένος με το διδακτορικό του στο Australian National. Πανεπιστήμιο.

(Το διδακτορικό του Tridge, παρεμπιπτόντως, ήταν rsync, μια άλλη εργαλειοθήκη λογισμικού που έχετε πιθανότατα χρησιμοποιείται με κάποια μορφή, ακόμα κι αν δεν το συνειδητοποιείτε.)

SMB μετατράπηκε σε CIFS, το Κοινό σύστημα αρχείων Διαδικτύου, όταν δημοσιοποιήθηκε από τη Microsoft το 1996, και έκτοτε δημιούργησε τα SMB 2 και SMB 3, τα οποία εξακολουθούν να είναι ιδιόκτητα πρωτόκολλα δικτύου, αλλά με προδιαγραφές που δημοσιεύονται επίσημα, ώστε εργαλεία όπως το Samba να μην χρειάζεται πλέον να βασίζονται στην αντίστροφη μηχανική και εικασίες για την παροχή συμβατών υλοποιήσεων.

Όπως μπορείτε να φανταστείτε, η χρησιμότητα του Samba σημαίνει ότι χρησιμοποιείται ευρέως στους κόσμους του Linux και του Unix, συμπεριλαμβανομένων των εσωτερικών, στο cloud, ακόμη και σε υλικό δικτύου, όπως οικιακούς δρομολογητές και συσκευές NAS.

(Το NAS είναι σύντομο για Δικτυακός Αποθηκευτικός Χώρος, συνήθως ένα κουτί γεμάτο σκληρούς δίσκους που συνδέετε στο LAN σας και εμφανίζεται αυτόματα ως διακομιστής αρχείων στον οποίο έχουν πρόσβαση όλοι οι άλλοι υπολογιστές σας.)

Εκτυπώστε το δικό σας διαβατήριο!

Το Samba μόλις ενημερώθηκε για να διορθώσει μια σειρά από τρωτά σημεία ασφαλείας, συμπεριλαμβανομένου ενός κρίσιμου σφάλματος που σχετίζεται με την επαναφορά κωδικού πρόσβασης.

Όπως αναλυτικά στο νεότερο Σημειώσεις έκδοσης Samba, υπάρχουν έξι σφάλματα με αριθμό CVE επιδιορθωμένα, συμπεριλαμβανομένων αυτών των πέντε…

…μαζί με αυτό, που είναι το πιο σοβαρό από τα πολλά, όπως θα δείτε αμέσως από την περιγραφή του σφάλματος:

Θεωρητικά, το CVE-2022-32744 το σφάλμα θα μπορούσε να εκμεταλλευτεί οποιοσδήποτε χρήστης στο δίκτυο.

Χαλαρά, οι επιτιθέμενοι θα μπορούσαν να τσακωθούν με την υπηρεσία αλλαγής κωδικού πρόσβασης της Samba, γνωστή ως kpasswd, μέσω μιας σειράς αποτυχημένων προσπαθειών αλλαγής κωδικού πρόσβασης…

…μέχρι τελικά να αποδεχτεί ένα αίτημα αλλαγής κωδικού πρόσβασης που εγκρίθηκε από τους ίδιους τους επιτιθέμενους.

Με όρους αργκό, αυτό είναι αυτό που θα μπορούσατε να ονομάσετε α Εκτυπώστε το δικό σας διαβατήριο επίθεση (PYOP), όπου σας ζητείται να αποδείξετε την ταυτότητά σας, αλλά μπορείτε να το κάνετε παρουσιάζοντας ένα «επίσημο» έγγραφο που δημιουργήσατε εσείς.

Η Αγία Τριάδα της κυβερνοασφάλειας

Όπως το θέτει η αναφορά σφάλματος Samba (η έμφαση μας):

Τα εισιτήρια που παραλήφθηκαν από την kpasswd Η υπηρεσία αποκρυπτογραφήθηκε χωρίς να διευκρινιστεί ότι θα πρέπει να δοκιμαστούν μόνο τα κλειδιά αυτής της υπηρεσίας. Ρυθμίζοντας το όνομα διακομιστή του εισιτηρίου σε έναν κύριο που σχετίζεται με τον δικό τους λογαριασμό ή εκμεταλλευόμενοι ένα εναλλακτικό, όπου θα δοκιμάζονταν γνωστά κλειδιά μέχρι να βρεθεί το κατάλληλο, ένας εισβολέας θα μπορούσε να ζητήσει από τον διακομιστή να δέχεται εισιτήρια κρυπτογραφημένα με οποιοδήποτε κλειδί, συμπεριλαμβανομένου του δικού του.

Ένας χρήστης θα μπορούσε έτσι αλλάξτε τον κωδικό πρόσβασης του λογαριασμού διαχειριστή και αποκτήστε πλήρη έλεγχο του τομέα. Θα ήταν δυνατή η πλήρης απώλεια του απορρήτου και της ακεραιότητας, καθώς και της διαθεσιμότητας με την άρνηση πρόσβασης των χρηστών στους λογαριασμούς τους.

Όπως θα θυμάστε από σχεδόν οποιαδήποτε εισαγωγή στον κυβερνοχώρο που έχετε δει, διαθεσιμότητα, εμπιστευτικότητα και ακεραιότητα είναι η «αγία τριάδα» της ασφάλειας των υπολογιστών.

Αυτές οι τρεις αρχές έχουν σκοπό να διασφαλίσουν: ότι μόνοι σας μπορείτε να δείτε τα προσωπικά σας δεδομένα (εμπιστευτικότητα) ότι κανείς άλλος δεν μπορεί να το μπερδέψει, ακόμα κι αν δεν μπορεί να το διαβάσει μόνος του, χωρίς να σας κάνει να καταλάβετε ότι έχει καλυφθεί (ακεραιότητα) και ότι τα μη εξουσιοδοτημένα μέρη δεν μπορούν να σας εμποδίσουν να αποκτήσετε πρόσβαση στα δικά σας στοιχεία (διαθεσιμότητα).

Σαφώς, εάν κάποιος μπορεί να επαναφέρει τον κωδικό πρόσβασης όλων (ή ίσως εννοούμε αν όλοι μπορούν να επαναφέρουν τον κωδικό πρόσβασης οποιουδήποτε), καμία από αυτές τις ιδιότητες ασφαλείας δεν ισχύει, επειδή οι εισβολείς μπορούν να εισέλθουν στον λογαριασμό σας, να αλλάξουν τα αρχεία σας και να σας κλειδώσουν.

Τι να κάνω;

Το Samba διατίθεται σε τρεις υποστηριζόμενες γεύσεις: τρέχουσα, προηγούμενη και προηγούμενη.

Οι ενημερώσεις που θέλετε είναι οι εξής:

• Εάν χρησιμοποιείτε την έκδοση 4.16, ενημέρωση από την 4.16.3 ή παλαιότερη έως 4.16.4
• Εάν χρησιμοποιείτε την έκδοση 4.15, ενημέρωση από την 4.15.8 ή παλαιότερη έως 4.15.9
• Εάν χρησιμοποιείτε την έκδοση 4.14, ενημέρωση από την 4.14.13 ή παλαιότερη έως 4.14.14

Εάν δεν μπορείτε να ενημερώσετε, ορισμένα από τα σφάλματα που αναφέρονται παραπάνω μπορούν να μετριαστούν με αλλαγές διαμόρφωσης, αν και ορισμένες από αυτές τις αλλαγές απενεργοποιούν τη λειτουργικότητα στην οποία μπορεί να βασίζεται το δίκτυό σας, κάτι που θα σας αποτρέψει από τη χρήση αυτών των συγκεκριμένων λύσεων.

Ως εκ τούτου, όπως πάντα: Patch Early, Patch Συχνά!

Εάν χρησιμοποιείτε διανομή Linux ή BSD που παρέχει το Samba ως πακέτο με δυνατότητα εγκατάστασης, θα πρέπει να έχετε ήδη (ή θα λάβετε σύντομα) μια ενημέρωση μέσω του διαχειριστή πακέτων της διανομής σας. για συσκευές δικτύου, όπως κουτιά NAS, επικοινωνήστε με τον προμηθευτή σας για λεπτομέρειες.

---