Kritisk Samba-feil kan la hvem som helst bli domeneadministrator – oppdatering nå!

Samba er et mye brukt åpen kildekodeverktøy som ikke bare gjør det enkelt for Linux- og Unix-datamaskiner å snakke med Windows-nettverk, men som også lar deg være vert for et Windows-stil Active Directory-domene uten Windows-servere i det hele tatt.

Navnet, i tilfelle du noen gang har lurt på det, er en glad-klingende og lett å si avledning fra SMB, forkortelse for Server Message Block, en proprietær fildelingsprotokoll som går langt tilbake til tidlig på 1980-tallet.

Alle med lang nok minne vil huske, sannsynligvis uten en enorm mengde hengivenhet, å koble opp OS/2-datamaskiner for å dele filer ved hjelp av SMB over NetBIOS.

Samba startet livet på begynnelsen av 1990-tallet takket være det harde arbeidet til den australske åpen kildekode-pioneren Andrew Tridgell, som ut fra de første prinsippene fant ut hvordan SMB fungerte slik at han kunne implementere en kompatibel versjon for Unix mens han var opptatt med doktorgraden sin ved Australian National Universitet.

(Tridges doktorgrad var forresten rsync, et annet programvareverktøy du har sannsynligvis brukt i en eller annen form, selv om du ikke er klar over det.)

SMB ble til CIFS, den Felles Internett-filsystem, da den ble offentliggjort av Microsoft i 1996, og har siden skapt SMB 2 og SMB 3, som fortsatt er proprietære nettverksprotokoller, men med spesifikasjoner som er offisielt publisert slik at verktøy som Samba ikke lenger trenger å stole på omvendt utvikling og gjetting for å gi kompatible implementeringer.

Som du kan forestille deg, betyr Sambas nytte at den er mye brukt i Linux- og Unix-verdenene, inkludert internt, i skyen og til og med på nettverksmaskinvare som hjemmerutere og NAS-enheter.

(NAS er forkortelse for Nettverks Festet Lagring, vanligvis en boks full av harddisker som du kobler til LAN og som automatisk vises som en filserver som alle de andre datamaskinene dine har tilgang til.)

Skriv ut ditt eget pass!

Samba har nettopp blitt oppdatert for å fikse en rekke sikkerhetssårbarheter, inkludert en kritisk feil relatert til tilbakestilling av passord.

Som beskrevet i det siste Utgivelsesnotater for Samba, er det seks CVE-nummererte feil rettet, inkludert disse fem...

…sammen med denne, som er den mest alvorlige av partiet, som du umiddelbart vil se fra feilbeskrivelsen:

I teorien er den CVE-2022-32744 feilen kan utnyttes av alle brukere på nettverket.

Løst sagt kunne angripere krangle Sambas passordendringstjeneste, kjent som kpasswd, gjennom en rekke mislykkede forsøk på passordendring...

...til den endelig godtok en forespørsel om passordendring som ble autorisert av angriperne selv.

I slang-termer er dette hva du kan kalle en Skriv ut ditt eget pass (PYOP) angrep, der du blir bedt om å bevise identiteten din, men kan gjøre det ved å presentere et "offisielt" dokument som du har laget selv.

Den hellige treenigheten av cybersikkerhet

Som Samba-feilrapporten sier det (vår vektlegging):

Billetter mottatt av kpasswd tjenesten ble dekryptert uten å spesifisere at bare den tjenestens egne nøkler skulle prøves. Ved å sette billettens servernavn til en rektor knyttet til deres egen konto, eller ved å utnytte en reserve der kjente nøkler ville bli prøvd inntil en passende ble funnet, en angriper kan få serveren til å akseptere billetter kryptert med en hvilken som helst nøkkel, inkludert deres egen.

En bruker kunne dermed endre passordet til administratorkontoen og få total kontroll over domenet. Fullt tap av konfidensialitet og integritet vil være mulig, samt tilgjengelighet ved å nekte brukere tilgang til kontoene deres.

Som du vil huske fra nesten enhver introduksjon av nettsikkerhet du noen gang har sett, tilgjengelighet, konfidensialitet og integritet er den "hellige treenigheten" av datasikkerhet.

Disse tre prinsippene er ment å sikre: at du alene kan se dine private data (konfidensialitet); at ingen andre kan rote med det, selv om de ikke kan lese det selv, uten å gjøre deg oppmerksom på at det er noblet (integritet); og at uautoriserte parter ikke kan hindre deg i å få tilgang til dine egne ting (tilgjengelighet).

Klart, hvis noen kan tilbakestille alles passord (eller kanskje vi mener at alle kan tilbakestille noens passord), gjelder ingen av disse sikkerhetsegenskapene, fordi angripere kan komme inn på kontoen din, endre filene dine og låse deg ute.

Hva gjør jeg?

Samba kommer i tre støttede smaker: nåværende, forrige og tidligere.

Oppdateringene du ønsker er som følger:

• Hvis du bruker versjon 4.16, oppdatering fra 4.16.3 eller tidligere til 4.16.4
• Hvis du bruker versjon 4.15, oppdatering fra 4.15.8 eller tidligere til 4.15.9
• Hvis du bruker versjon 4.14, oppdatering fra 4.14.13 eller tidligere til 4.14.14

Hvis du ikke kan oppdatere, kan noen av feilene som er oppført ovenfor reduseres med konfigurasjonsendringer, selv om noen av disse endringene slår av funksjonalitet som nettverket ditt kan stole på, noe som vil hindre deg i å bruke de spesielle løsningene.

Derfor, som alltid: Patch tidlig, patch ofte!

Hvis du bruker en Linux- eller BSD-distro som gir Samba som en installerbar pakke, bør du allerede ha (eller bør snart motta) en oppdatering via distroens pakkebehandling; for nettverksenheter som NAS-bokser, sjekk med leverandøren for detaljer.

---