गंभीर सांबा बग किसी को भी डोमेन व्यवस्थापक बनने दे सकता है - अभी पैच करें!

सांबा एक व्यापक रूप से उपयोग किया जाने वाला ओपन सोर्स टूलकिट है जो न केवल लिनक्स और यूनिक्स कंप्यूटरों के लिए विंडोज नेटवर्क से बात करना आसान बनाता है, बल्कि आपको विंडोज सर्वर के बिना विंडोज-स्टाइल एक्टिव डायरेक्ट्री डोमेन को होस्ट करने की सुविधा भी देता है।

नाम, यदि आपने कभी सोचा है, एसएमबी से एक सुखद ध्वनि और कहने में आसान व्युत्पत्ति है, जिसका संक्षिप्त नाम है सर्वर संदेश ब्लॉक, एक मालिकाना फ़ाइल-साझाकरण प्रोटोकॉल जो 1980 के दशक की शुरुआत में वापस जाता है।

लंबे समय तक पर्याप्त मेमोरी वाला कोई भी व्यक्ति याद करेगा, शायद बिना अत्यधिक स्नेह के, नेटबीओएस पर एसएमबी का उपयोग करके फाइलों को साझा करने के लिए ओएस / 2 कंप्यूटरों को जोड़ना।

सांबा ने 1990 के दशक की शुरुआत में ऑस्ट्रेलियाई ओपन सोर्स पायनियर एंड्रयू ट्रिडेल की कड़ी मेहनत की बदौलत जीवन शुरू किया, जिन्होंने पहले सिद्धांतों से पता लगाया कि एसएमबी कैसे काम करता है ताकि वह यूनिक्स के लिए एक संगत संस्करण को लागू कर सके, जबकि वह ऑस्ट्रेलियाई नेशनल में पीएचडी में व्यस्त था। विश्वविद्यालय।

(ट्रिज की पीएचडी, वैसे, थी rsync, एक अन्य सॉफ़्टवेयर टूलकिट जो आपके पास है शायद किसी न किसी रूप में इस्तेमाल किया जाता है, भले ही आपको इसका एहसास न हो।)

SMB CIFS में बदल गया, आम इंटरनेट फाइल सिस्टम, जब इसे 1996 में माइक्रोसॉफ्ट द्वारा सार्वजनिक किया गया था, और तब से एसएमबी 2 और एसएमबी 3 को जन्म दिया है, जो अभी भी मालिकाना नेटवर्क प्रोटोकॉल हैं, लेकिन विनिर्देशों के साथ जो आधिकारिक तौर पर प्रकाशित किए गए हैं ताकि सांबा जैसे उपकरणों को अब रिवर्स इंजीनियरिंग पर निर्भर न रहना पड़े और संगत कार्यान्वयन प्रदान करने के लिए अनुमान।

जैसा कि आप कल्पना कर सकते हैं, सांबा की उपयोगिता का अर्थ है कि यह लिनक्स और यूनिक्स की दुनिया में व्यापक रूप से उपयोग किया जाता है, जिसमें इन-हाउस, क्लाउड में और यहां तक ​​​​कि नेटवर्क हार्डवेयर जैसे होम राउटर और एनएएस डिवाइस शामिल हैं।

(NAS इसके लिए छोटा है नेटवर्क संलग्न संग्रहण, आमतौर पर हार्ड डिस्क से भरा एक बॉक्स जिसे आप अपने LAN में प्लग करते हैं और जो स्वचालित रूप से एक फ़ाइल सर्वर के रूप में दिखाई देता है जिसे आपके अन्य सभी कंप्यूटर एक्सेस कर सकते हैं।)

अपना खुद का पासपोर्ट प्रिंट करें!

पासवर्ड रीसेट से संबंधित एक महत्वपूर्ण बग सहित कई सुरक्षा कमजोरियों को ठीक करने के लिए सांबा को अभी अपडेट किया गया है।

जैसा कि नवीनतम में विस्तृत है सांबा रिलीज नोट्स, छह सीवीई-क्रमांकित बग पैच किए गए हैं, इन पांचों सहित…

... इसके साथ, जो कि सबसे गंभीर है, जैसा कि आप तुरंत बग विवरण से देखेंगे:

सिद्धांत रूप में CVE-2022-32744 बग का फायदा नेटवर्क पर कोई भी उपयोगकर्ता उठा सकता है।

संक्षेप में कहें तो, हमलावर सांबा की पासवर्ड बदलने वाली सेवा को बाधित कर सकते हैं, जिसे के रूप में जाना जाता है kpasswd, असफल पासवर्ड परिवर्तन प्रयासों की एक श्रृंखला के माध्यम से…

...जब तक यह अंततः पासवर्ड बदलने का अनुरोध स्वीकार नहीं कर लेता जिसे हमलावरों ने खुद अधिकृत किया था.

कठबोली शब्दों में, इसे आप a . कह सकते हैं अपना खुद का पासपोर्ट प्रिंट करें (पीवाईओपी) हमला, जहां आपको अपनी पहचान साबित करने के लिए कहा जाता है, लेकिन आप अपने द्वारा बनाए गए "आधिकारिक" दस्तावेज़ को प्रस्तुत करके ऐसा करने में सक्षम होते हैं।

साइबर सुरक्षा की पवित्र त्रिमूर्ति

जैसा कि सांबा बग रिपोर्ट कहती है (हमारा जोर):

द्वारा प्राप्त टिकट kpasswd service को यह निर्दिष्ट किए बिना डिक्रिप्ट किया गया था कि केवल उस सेवा की अपनी कुंजियों का प्रयास किया जाना चाहिए। टिकट के सर्वर नाम को अपने स्वयं के खाते से जुड़े प्रिंसिपल पर सेट करके, या फॉलबैक का फायदा उठाकर जहां उपयुक्त कुंजी मिलने तक ज्ञात कुंजी की कोशिश की जाएगी, एक हमलावर सर्वर से किसी भी कुंजी के साथ एन्क्रिप्टेड टिकट स्वीकार कर सकता है, जिसमें उनकी अपनी भी शामिल है.

एक उपयोगकर्ता इस प्रकार कर सकता है व्यवस्थापक खाते का पासवर्ड बदलें और डोमेन पर पूर्ण नियंत्रण प्राप्त करें. गोपनीयता और अखंडता का पूर्ण नुकसान संभव होगा, साथ ही उपयोगकर्ताओं को उनके खातों तक पहुंच से वंचित करके उपलब्धता की भी।

जैसा कि आपने कभी देखा है लगभग किसी भी साइबर सुरक्षा परिचय से आपको याद होगा, उपलब्धता, गोपनीयता और ईमानदारी कंप्यूटर सुरक्षा की "पवित्र त्रिमूर्ति" हैं।

वे तीन सिद्धांत यह सुनिश्चित करने के लिए हैं: कि आप अकेले ही अपना निजी डेटा देख सकते हैं (गोपनीयता); कि कोई और इसके साथ खिलवाड़ नहीं कर सकता, भले ही वे इसे स्वयं न पढ़ सकें, आपको यह बताए बिना कि यह महान है (ईमानदारी); और यह कि अनधिकृत पक्ष आपको अपनी सामग्री तक पहुँचने से नहीं रोक सकते (उपलब्धता).

स्पष्ट रूप से, यदि कोई हर किसी का पासवर्ड रीसेट कर सकता है (या शायद हमारा मतलब है कि हर कोई किसी का पासवर्ड रीसेट कर सकता है), तो इनमें से कोई भी सुरक्षा गुण लागू नहीं होता है, क्योंकि हमलावर आपके खाते में प्रवेश कर सकते हैं, आपकी फ़ाइलें बदल सकते हैं और आपको लॉक कर सकते हैं।

क्या करना है?

सांबा तीन समर्थित स्वादों में आता है: वर्तमान, पिछला और पूर्व-पिछला।

आप जो अपडेट चाहते हैं वे इस प्रकार हैं:

• यदि संस्करण 4.16 . का उपयोग कर रहे हैं, 4.16.3 या इससे पहले के अपडेट से 4.16.4
• यदि संस्करण 4.15 . का उपयोग कर रहे हैं, 4.15.8 या इससे पहले के अपडेट से 4.15.9
• यदि संस्करण 4.14 . का उपयोग कर रहे हैं, 4.14.13 या इससे पहले के अपडेट से 4.14.14

यदि आप अपडेट नहीं कर सकते हैं, तो ऊपर सूचीबद्ध कुछ बग्स को कॉन्फ़िगरेशन परिवर्तनों के साथ कम किया जा सकता है, हालांकि उनमें से कुछ परिवर्तन कार्यक्षमता को बंद कर देते हैं जिस पर आपका नेटवर्क भरोसा कर सकता है, जो आपको उन विशेष वर्कअराउंड का उपयोग करने से रोकेगा।

इसलिए, हमेशा की तरह: जल्दी पैच करें, अक्सर पैच करें!

यदि आप एक लिनक्स या बीएसडी डिस्ट्रो का उपयोग करते हैं जो सांबा को एक इंस्टॉल करने योग्य पैकेज के रूप में प्रदान करता है, तो आपके पास अपने डिस्ट्रो के पैकेज मैनेजर के माध्यम से पहले से ही एक अपडेट होना चाहिए (या जल्द ही प्राप्त होना चाहिए); NAS बॉक्स जैसे नेटवर्क उपकरणों के लिए, विवरण के लिए अपने विक्रेता से संपर्क करें।

---