Kriitiline Samba viga võib lubada igaühel saada domeeniadministraatoriks – parandage kohe!

Samba on laialdaselt kasutatav avatud lähtekoodiga tööriistakomplekt, mis mitte ainult ei hõlbusta Linuxi ja Unixi arvutite jaoks Windowsi võrkudega suhtlemist, vaid võimaldab teil hostida ka Windowsi stiilis Active Directory domeeni ilma Windowsi serveriteta.

See nimi, kui olete kunagi mõelnud, on rõõmsalt kõlav ja lihtsalt öeldav tuletis sõnast SMB, lühend sõnadest Server Message Block, patenteeritud failijagamisprotokoll, mis ulatub 1980. aastate algusesse.

Igaüks, kellel on piisavalt pikk mälu, meenutab tõenäoliselt ilma tohutu kiindumuseta OS/2 arvutite ühendamist failide jagamiseks SMB kaudu NetBIOS-i kaudu.

Samba alustas oma elu 1990. aastate alguses tänu Austraalia avatud lähtekoodiga pioneeri Andrew Tridgelli raskele tööle, kes sai esimestest põhimõtetest aru, kuidas SMB töötab, et ta saaks Unixi jaoks ühilduva versiooni juurutada, kui ta oli hõivatud Austraalia riiklikus doktorikraadiga. Ülikool.

(Tridge'i doktorikraad, muide, oli rsync, teise tarkvara tööriistakomplekti, mis teil on ilmselt mingis vormis kasutatud, isegi kui te sellest aru ei saa.)

SMB muutus CIFS-iks, Ühine Interneti-failisüsteem, kui Microsoft selle 1996. aastal avalikustas ja sellest ajast alates on loonud SMB 2 ja SMB 3, mis on endiselt patenteeritud võrguprotokollid, kuid mille spetsifikatsioonid on ametlikult avaldatud, et sellised tööriistad nagu Samba ei pea enam toetuma pöördprojekteerimisele ja oletused, et pakkuda ühilduvaid rakendusi.

Nagu võite ette kujutada, tähendab Samba kasulikkus seda, et seda kasutatakse laialdaselt Linuxi ja Unixi maailmas, sealhulgas ettevõttesiseses, pilves ja isegi võrguriistvaras, nagu koduruuterid ja NAS-seadmed.

(NAS on lühend sõnadest võrguga ühendatud mälu, tavaliselt kast täis kõvakettaid, mille ühendate oma kohtvõrku ja mis kuvatakse automaatselt failiserverina, millele pääsevad juurde kõik teised arvutid.)

Printige oma pass!

Sambat värskendati just, et parandada mitmeid turvaauke, sealhulgas parooli lähtestamisega seotud kriitiline viga.

Nagu on üksikasjalikult kirjeldatud viimases Samba väljalaskemärkmed, on parandatud kuus CVE-numbriga viga, sealhulgas need viis…

…koos selle, mis on kõige tõsisem, nagu veakirjeldusest kohe näha on:

Teoreetiliselt on CVE-2022-32744 viga võib ära kasutada iga võrgu kasutaja.

Lahedalt öeldes võivad ründajad tülitseda Samba paroolivahetusteenusega, mida tuntakse kui kpasswd, läbi mitme ebaõnnestunud parooli muutmise katse…

… kuni see lõpuks parooli muutmise taotluse vastu võttis mille lubasid ründajad ise.

Slängi terminites võib seda nimetada a Printige oma pass (PYOP) rünnak, kus teil palutakse oma isikut tõendada, kuid saate seda teha, esitades enda loodud "ametliku" dokumendi.

Küberturvalisuse püha kolmainsus

Nagu Samba veaaruanne ütleb (meie rõhuasetus):

Piletid sai kpasswd teenus dekrüpteeriti, määramata, et proovitakse ainult selle teenuse enda võtmeid. Määrates pileti serveri nimeks nende enda kontoga seotud printsipaal või kasutades varuvarianti, kus proovitakse teadaolevaid võtmeid, kuni sobiv leitakse, ründaja võib lasta serveril aktsepteerida mis tahes võtmega krüpteeritud pileteid, sealhulgas enda oma.

Kasutaja võiks seega muutke administraatori konto parooli ja saavutage täielik kontroll domeeni üle. Konfidentsiaalsuse ja terviklikkuse ning kättesaadavuse täielik kaotus oleks võimalik, kui keelataks kasutajatele juurdepääsu oma kontodele.

Nagu mäletate peaaegu kõigist küberturvalisuse tutvustustest, mida olete kunagi näinud, kättesaadavus, konfidentsiaalsus ja terviklikkuse on arvutiturbe "püha kolmainsus".

Need kolm põhimõtet on mõeldud selleks, et tagada, et ainult teie saate oma privaatseid andmeid vaadata (konfidentsiaalsus); et keegi teine ​​ei saa sellega jamada, isegi kui nad ei saa seda ise lugeda, ilma et nad teadvustaksid, et see on üllatunud (terviklikkuse); ja et volitamata osapooled ei saa takistada teil juurdepääsu oma asjadele (kättesaadavus).

On selge, et kui igaüks saab lähtestada kõigi parooli (või võib-olla mõtleme seda, et igaüks saab lähtestada kellegi parooli), ei kehti ükski neist turvaomadustest, sest ründajad võivad pääseda teie kontole, muuta teie faile ja teid välja lülitada.

Mida teha?

Samba on saadaval kolmes toetatud maitses: praegune, eelmine ja eelmine.

Soovitud värskendused on järgmised.

• Kui kasutate versiooni 4.16, värskendage versioonilt 4.16.3 või varasemalt versioonile 4.16.4
• Kui kasutate versiooni 4.15, värskendage versioonilt 4.15.8 või varasemalt versioonile 4.15.9
• Kui kasutate versiooni 4.14, värskendage versioonilt 4.14.13 või varasemalt versioonile 4.14.14

Kui te ei saa värskendada, saab mõningaid ülaltoodud vigu leevendada konfiguratsioonimuudatustega, kuigi mõned neist muudatustest lülitavad välja funktsioonid, millele teie võrk võib tugineda, mis takistaks teil neid konkreetseid lahendusi kasutada.

Seetõttu, nagu alati: Paigutage varakult, lapige sageli!

Kui kasutate Linuxi või BSD distributsiooni, mis pakub installitava paketina Sambat, peaks teil juba olema (või peagi saama) värskendus oma distro paketihalduri kaudu; võrguseadmete (nt NAS-i kastid) puhul küsige üksikasju oma müüjalt.

---