A kritikus Samba-hiba miatt bárki domainadminisztrátorrá válhat – javítsd ki most!

A Samba egy széles körben használt nyílt forráskódú eszközkészlet, amely nemcsak megkönnyíti a Linux és Unix számítógépek számára a Windows-hálózatokkal való kommunikációt, hanem lehetővé teszi egy Windows-stílusú Active Directory-tartomány üzemeltetését is Windows-kiszolgálók nélkül.

A név, ha valaha is elgondolkodott, boldogan hangzó és könnyen kimondható származéka az SMB szónak, rövidítése Server Message Block, egy védett fájlmegosztó protokoll, amely egészen az 1980-as évek elejéig nyúlik vissza.

Bárki, aki elég hosszú memóriával rendelkezik, felidézi, valószínűleg óriási szeretet nélkül, hogy OS/2 rendszerű számítógépeket csatlakoztatott a fájlok megosztásához SMB használatával NetBIOS-on keresztül.

A Samba az 1990-es évek elején kezdődött, köszönhetően az ausztrál nyílt forráskódú úttörő, Andrew Tridgell kemény munkájának, aki az első alapelvekből kitalálta, hogyan működik az SMB, hogy kompatibilis verziót tudjon megvalósítani a Unix számára, miközben az Australian National Egyetemen doktorált. Egyetemi.

(Tridge PhD-je egyébként az volt rsync, egy másik szoftvereszközkészletet valószínűleg valamilyen formában használják, még ha nem is veszi észre.)

Az SMB-ből CIFS lett, a Közös internetes fájlrendszer, amikor a Microsoft 1996-ban nyilvánosságra hozta, és azóta megszületett az SMB 2 és SMB 3, amelyek még mindig védett hálózati protokollok, de olyan specifikációkkal rendelkeznek, amelyeket hivatalosan is közzétesznek, így az olyan eszközöknek, mint a Samba, többé nem kell visszafejtésre támaszkodniuk és találgatás a kompatibilis megvalósítások biztosításához.

Elképzelhető, hogy a Samba hasznossága azt jelenti, hogy széles körben használják a Linux és Unix világban, beleértve a házon belüli, a felhőben, és még hálózati hardvereken is, például otthoni útválasztókon és NAS-eszközökön.

(NAS a rövidítése Hálózati adattároló, általában egy doboz tele merevlemezekkel, amelyeket csatlakoztat a LAN-hoz, és amely automatikusan fájlszerverként jelenik meg, amelyhez az összes többi számítógép hozzáfér.)

Nyomtassa ki saját útlevelét!

A Samba most frissült, hogy kijavítson számos biztonsági rést, beleértve a jelszó-visszaállítással kapcsolatos kritikus hibát.

Ahogy a legfrissebb részletezi Samba kiadási megjegyzések, hat CVE-számú hiba van javítva, köztük ez az öt…

…és ezzel együtt, ami a sorozat legkomolyabbja, amint azt a hibaleírásból azonnal látni fogja:

Elméletileg a CVE-2022 32744- hibát a hálózat bármely felhasználója kihasználhatja.

Lazán fogalmazva a támadók megzavarhatják a Samba jelszóváltoztató szolgáltatását, az úgynevezett kpasswd, sikertelen jelszómódosítási kísérletek sorozatán keresztül…

…amíg végül elfogadta a jelszómódosítási kérelmet ezt maguk a támadók engedélyezték.

Szlengben ezt nevezhetjük a Nyomtassa ki saját útlevelét (PYOP) támadás, ahol személyazonosságának igazolására kérik, de megteheti egy „hivatalos” dokumentum bemutatásával, amelyet saját maga készített.

A kiberbiztonság szentháromsága

Ahogy a Samba hibajelentés fogalmaz (kiemelésünk):

Jegyeket kapott a kpasswd A szolgáltatás visszafejtésre került anélkül, hogy meghatározták volna, hogy csak az adott szolgáltatás saját kulcsait kell kipróbálni. Ha a jegy szervernevét a saját fiókjukhoz társított főre állítja be, vagy olyan tartalékot használ, ahol az ismert kulcsokat addig próbálják meg, amíg megfelelőt nem találnak, a támadó megkérheti a szervert, hogy bármilyen kulccsal titkosított jegyeket fogadjon el, beleértve a sajátját is.

Egy felhasználó így teheti módosítsa az Adminisztrátori fiók jelszavát, és szerezze meg a tartomány teljes irányítását. A bizalmasság és integritás, valamint a rendelkezésre állás teljes elvesztése lehetséges lenne, ha megtagadják a felhasználók hozzáférését fiókjaikhoz.

Amint arra szinte minden kiberbiztonsági bevezetőből emlékszik, amit valaha látott, elérhetőség, titoktartási és a sértetlenség a számítógépes biztonság „szentháromsága”.

Ennek a három alapelvnek az a célja, hogy biztosítsa: Ön egyedül tekintheti meg személyes adatait (titoktartási); hogy senki más ne foglalkozzon vele, még akkor sem, ha ő maga nem tudja elolvasni anélkül, hogy tudatában lenne annak, hogy nemesítették (sértetlenség); és hogy az illetéktelen felek nem akadályozhatják meg, hogy hozzáférjen saját dolgaihoz (elérhetőség).

Nyilvánvaló, hogy ha bárki visszaállíthatja mindenki jelszavát (vagy arra gondolunk, hogy mindenki visszaállíthatja bárki jelszavát), akkor a biztonsági tulajdonságok egyike sem érvényesül, mert a támadók bejuthatnak az Ön fiókjába, megváltoztathatják fájljait, és kizárhatják.

Mit kell tenni?

A Samba három támogatott ízben kapható: jelenlegi, előző és megelőző.

A kívánt frissítések a következők:

• Ha 4.16-os verziót használ, frissítés 4.16.3-ról vagy korábbi verzióról 4.16.4
• Ha 4.15-os verziót használ, frissítés 4.15.8-ról vagy korábbi verzióról 4.15.9
• Ha 4.14-os verziót használ, frissítés 4.14.13-ról vagy korábbi verzióról 4.14.14

Ha nem tud frissíteni, a fent felsorolt ​​hibák némelyike ​​enyhíthető konfigurációs változtatásokkal, bár ezek némelyike ​​kikapcsolja azokat a funkciókat, amelyekre a hálózat támaszkodhat, ami megakadályozza az adott megoldások alkalmazását.

Ezért, mint mindig: Javíts korán, javíts gyakran!

Ha olyan Linux vagy BSD disztribúciót használsz, amely a Sambát telepíthető csomagként biztosítja, akkor már rendelkezned kell (vagy hamarosan meg kell kapnod) egy frissítést a disztribúció csomagkezelőjén keresztül; hálózati eszközök, például NAS-boxok esetében forduljon a forgalmazóhoz a részletekért.

---