Il bug critico di Samba potrebbe consentire a chiunque di diventare amministratore di dominio - patch ora!

Samba è un toolkit open source ampiamente utilizzato che non solo consente ai computer Linux e Unix di comunicare facilmente con le reti Windows, ma consente anche di ospitare un dominio Active Directory in stile Windows senza server Windows.

Il nome, nel caso te lo sia mai chiesto, è una derivazione allegra e facile da dire da SMB, abbreviazione di Server Message Block, un protocollo proprietario di condivisione file che risale ai primi anni '1980.

Chiunque abbia una memoria abbastanza lunga ricorderà, probabilmente senza un'enorme quantità di affetto, il collegamento di computer OS/2 per condividere file utilizzando SMB su NetBIOS.

Samba ha iniziato la sua vita all'inizio degli anni '1990 grazie al duro lavoro del pioniere dell'open source australiano Andrew Tridgell, che ha capito dai primi principi come funzionava SMB in modo da poter implementare una versione compatibile per Unix mentre era impegnato con il suo dottorato di ricerca presso l'Australian National Università.

(Il dottorato di Tridge, tra l'altro, era rsync, un altro toolkit software che hai probabilmente usato in qualche modo, anche se non te ne rendi conto.)

SMB si è trasformata in CIFS, il File system Internet comune, quando è stato reso pubblico da Microsoft nel 1996, e da allora ha generato SMB 2 e SMB 3, che sono ancora protocolli di rete proprietari, ma con specifiche pubblicate ufficialmente in modo che strumenti come Samba non debbano più fare affidamento sul reverse engineering e supposizioni per fornire implementazioni compatibili.

Come puoi immaginare, l'utilità di Samba significa che è ampiamente utilizzato nei mondi Linux e Unix, inclusi interni, nel cloud e persino su hardware di rete come router domestici e dispositivi NAS.

(NAS è l'abbreviazione di archiviazione collegata alla rete, in genere una scatola piena di dischi rigidi che si collega alla LAN e che si presenta automaticamente come un file server a cui possono accedere tutti gli altri computer.)

Stampa il tuo passaporto!

Samba è appena stato aggiornato per correggere una serie di vulnerabilità di sicurezza, incluso un bug critico relativo alla reimpostazione della password.

Come dettagliato nell'ultimo Note sulla versione di Samba, ci sono sei bug numerati CVE corretti, inclusi questi cinque...

…insieme a questo, che è il più grave del lotto, come vedrai subito dalla descrizione del bug:

In teoria, il CVE-2022-32744 bug potrebbe essere sfruttato da qualsiasi utente della rete.

In parole povere, gli aggressori potrebbero ingaggiare il servizio di cambio password di Samba, noto come kpasswd, attraverso una serie di tentativi di modifica della password falliti...

…finché non ha finalmente accettato una richiesta di modifica della password che è stato autorizzato dagli stessi aggressori.

In termini gergali, questo è ciò che potresti chiamare a Stampa il tuo passaporto (PYOP), dove ti viene chiesto di provare la tua identità, ma puoi farlo presentando un documento “ufficiale” che hai creato tu stesso.

La santa trinità della sicurezza informatica

Come dice il bug report di Samba (il nostro corsivo):

I biglietti ricevuti dal kpasswd servizio sono stati decrittografati senza specificare che devono essere provate solo le chiavi di quel servizio. Impostando il nome del server del ticket su un principal associato al proprio account, o sfruttando un fallback in cui le chiavi conosciute sarebbero state provate fino a quando non ne fosse stata trovata una adatta, un utente malintenzionato potrebbe far accettare al server i ticket crittografati con qualsiasi chiave, inclusa la propria.

Un utente potrebbe così cambia la password dell'account amministratore e ottieni il controllo totale del dominio. Sarebbe possibile la perdita totale della riservatezza e dell'integrità, nonché della disponibilità negando agli utenti l'accesso ai propri account.

Come ricorderai da quasi tutte le presentazioni di sicurezza informatica che tu abbia mai visto, disponibilità, riservatezza ed interezza sono la “santa trinità” della sicurezza informatica.

Questi tre principi hanno lo scopo di garantire: che tu solo possa visualizzare i tuoi dati privati ​​(riservatezza); che nessun altro può pasticciare con esso, anche se non possono leggerlo da soli, senza farti capire che è stato nobilitato (interezza ); e che le parti non autorizzate non possono impedirti di accedere alle tue cose (disponibilità).

Chiaramente, se qualcuno può reimpostare la password di tutti (o forse intendiamo se tutti possono reimpostare la password di qualcuno), nessuna di queste proprietà di sicurezza si applica, perché gli aggressori possono entrare nel tuo account, modificare i tuoi file e bloccarti.

Cosa fare?

Samba è disponibile in tre gusti supportati: attuale, precedente e pre-precedente.

Gli aggiornamenti desiderati sono i seguenti:

• Se si utilizza la versione 4.16, aggiornamento da 4.16.3 o precedenti a 4.16.4
• Se si utilizza la versione 4.15, aggiornamento da 4.15.8 o precedenti a 4.15.9
• Se si utilizza la versione 4.14, aggiornamento da 4.14.13 o precedenti a 4.14.14

Se non riesci ad aggiornare, alcuni dei bug sopra elencati possono essere mitigati con modifiche alla configurazione, anche se alcune di queste modifiche disattivano le funzionalità su cui la tua rete potrebbe fare affidamento, impedendoti di utilizzare quelle particolari soluzioni alternative.

Pertanto, come sempre: Patch presto, patch spesso!

Se usi una distribuzione Linux o BSD che fornisce Samba come pacchetto installabile, dovresti già avere (o dovresti ricevere presto) un aggiornamento tramite il gestore pacchetti della tua distribuzione; per i dispositivi di rete come le scatole NAS, verificare con il proprio fornitore per i dettagli.

---