Un bug critique de Samba pourrait permettre à n'importe qui de devenir administrateur de domaine - corrigez-le maintenant !

Samba est une boîte à outils open source largement utilisée qui permet non seulement aux ordinateurs Linux et Unix de communiquer facilement avec les réseaux Windows, mais vous permet également d'héberger un domaine Active Directory de style Windows sans aucun serveur Windows.

Le nom, au cas où vous vous êtes déjà demandé, est une dérivation joyeuse et facile à dire de SMB, abréviation de Server Message Block, un protocole propriétaire de partage de fichiers qui remonte au début des années 1980.

Toute personne ayant une mémoire suffisamment longue se souviendra, probablement sans beaucoup d'affection, avoir connecté des ordinateurs OS/2 pour partager des fichiers en utilisant SMB sur NetBIOS.

Samba a vu le jour au début des années 1990 grâce au travail acharné du pionnier australien de l'open source Andrew Tridgell, qui a découvert à partir des premiers principes comment SMB fonctionnait afin de pouvoir implémenter une version compatible pour Unix alors qu'il était occupé par son doctorat à l'Australian National Université.

(Le doctorat de Tridge, soit dit en passant, était rsync, une autre boîte à outils logicielle que vous avez probablement utilisé sous une certaine forme, même si vous ne vous en rendez pas compte.)

SMB s'est transformé en CIFS, le Système de fichiers Internet commun, lorsqu'il a été rendu public par Microsoft en 1996, et a depuis engendré SMB 2 et SMB 3, qui sont toujours des protocoles réseau propriétaires, mais avec des spécifications officiellement publiées afin que des outils tels que Samba n'aient plus à s'appuyer sur l'ingénierie inverse et conjecture pour fournir des implémentations compatibles.

Comme vous pouvez l'imaginer, l'utilité de Samba signifie qu'il est largement utilisé dans les mondes Linux et Unix, y compris en interne, dans le cloud et même sur le matériel réseau tel que les routeurs domestiques et les périphériques NAS.

(NAS est l'abréviation de stockage connecté au réseau, généralement une boîte remplie de disques durs que vous branchez sur votre réseau local et qui s'affiche automatiquement en tant que serveur de fichiers auquel tous vos autres ordinateurs peuvent accéder.)

Imprimez votre propre passeport !

Samba vient d'être mis à jour pour corriger un certain nombre de vulnérabilités de sécurité, y compris un bogue critique lié aux réinitialisations de mot de passe.

Comme détaillé dans le dernier Notes de version de Samba, six bogues numérotés CVE ont été corrigés, dont ces cinq…

… avec celui-ci, qui est le plus sérieux du lot, comme vous le verrez immédiatement dans la description du bug :

En théorie, le CVE-2022-32744 bogue pourrait être exploité par n'importe quel utilisateur sur le réseau.

En gros, les attaquants pourraient déjouer le service de changement de mot de passe de Samba, connu sous le nom de kpasswd, à travers une série de tentatives de changement de mot de passe infructueuses…

… jusqu'à ce qu'il accepte finalement une demande de changement de mot de passe qui a été autorisé par les assaillants eux-mêmes.

En termes d'argot, c'est ce que l'on pourrait appeler un Imprimez votre propre passeport (PYOP) où l'on vous demande de prouver votre identité, mais vous pouvez le faire en présentant un document « officiel » que vous avez créé vous-même.

La sainte trinité de la cybersécurité

Comme le dit le rapport de bogue de Samba (nous soulignons) :

Les billets reçus par le kpasswd service ont été déchiffrés sans spécifier que seules les propres clés de ce service doivent être essayées. En définissant le nom du serveur du ticket sur un principal associé à son propre compte, ou en exploitant une solution de repli où des clés connues seraient essayées jusqu'à ce qu'une clé appropriée soit trouvée, un attaquant pourrait faire en sorte que le serveur accepte les tickets chiffrés avec n'importe quelle clé, y compris la sienne.

Un utilisateur pourrait ainsi changer le mot de passe du compte administrateur et obtenir un contrôle total sur le domaine. Une perte totale de confidentialité et d'intégrité serait possible, ainsi que de disponibilité en refusant aux utilisateurs l'accès à leurs comptes.

Comme vous vous en souviendrez de presque toutes les introductions à la cybersécurité que vous avez jamais vues, disponibilité, confidentialité ainsi que intégrité sont la « sainte trinité » de la sécurité informatique.

Ces trois principes visent à garantir : que vous seul pouvez consulter vos données personnelles (confidentialité); que personne d'autre ne peut jouer avec, même s'il ne peut pas le lire lui-même, sans vous faire savoir qu'il a été noblé (intégrité); et que les parties non autorisées ne peuvent pas vous empêcher d'accéder à vos propres données (disponibilité).

De toute évidence, si n'importe qui peut réinitialiser le mot de passe de tout le monde (ou peut-être que nous voulons dire si tout le monde peut réinitialiser le mot de passe de n'importe qui), aucune de ces propriétés de sécurité ne s'applique, car les attaquants peuvent accéder à votre compte, modifier vos fichiers et vous verrouiller.

Que faire?

Samba est disponible en trois versions prises en charge : actuelle, précédente et pré-précédente.

Les mises à jour souhaitées sont les suivantes :

• Si vous utilisez la version 4.16, mise à jour à partir de la version 4.16.3 ou antérieure vers 4.16.4
• Si vous utilisez la version 4.15, mise à jour à partir de la version 4.15.8 ou antérieure vers 4.15.9
• Si vous utilisez la version 4.14, mise à jour à partir de la version 4.14.13 ou antérieure vers 4.14.14

Si vous ne pouvez pas mettre à jour, certains des bogues répertoriés ci-dessus peuvent être atténués par des modifications de configuration, bien que certaines de ces modifications désactivent les fonctionnalités sur lesquelles votre réseau pourrait s'appuyer, ce qui vous empêcherait d'utiliser ces solutions de contournement particulières.

Donc, comme toujours : Patchez tôt, patchez souvent !

Si vous utilisez une distribution Linux ou BSD qui fournit Samba en tant que package installable, vous devriez déjà avoir (ou devriez bientôt recevoir) une mise à jour via le gestionnaire de packages de votre distribution ; pour les périphériques réseau tels que les boîtiers NAS, consultez votre fournisseur pour plus de détails.

---