Bug crítico do Samba pode permitir que qualquer pessoa se torne administrador de domínio – corrija agora!

O Samba é um kit de ferramentas de código aberto amplamente usado que não apenas facilita a comunicação entre computadores Linux e Unix com redes Windows, mas também permite hospedar um domínio do Active Directory no estilo Windows sem servidores Windows.

O nome, caso você já tenha se perguntado, é uma derivação alegre e fácil de dizer de SMB, abreviação de Server Message Block, um protocolo proprietário de compartilhamento de arquivos que remonta ao início dos anos 1980.

Qualquer pessoa com uma memória longa o suficiente lembrará, provavelmente sem muito carinho, de conectar computadores OS/2 para compartilhar arquivos usando SMB sobre NetBIOS.

Samba começou a vida no início de 1990 graças ao trabalho árduo do pioneiro australiano de código aberto Andrew Tridgell, que descobriu desde os primeiros princípios como o SMB funcionava para que ele pudesse implementar uma versão compatível para Unix enquanto ele estava ocupado com seu doutorado na Australian National Universidade.

(O doutorado de Tridge, a propósito, foi rsync, outro kit de ferramentas de software que você provavelmente usado em algum disfarce, mesmo que você não perceba.)

SMB se transformou em CIFS, o Sistema de arquivos comum da Internet, quando foi tornado público pela Microsoft em 1996, e desde então gerou o SMB 2 e o SMB 3, que ainda são protocolos de rede proprietários, mas com especificações publicadas oficialmente para que ferramentas como o Samba não precisem mais depender de engenharia reversa e adivinhação para fornecer implementações compatíveis.

Como você pode imaginar, a utilidade do Samba significa que ele é amplamente utilizado nos mundos Linux e Unix, incluindo internamente, na nuvem e até mesmo em hardware de rede, como roteadores domésticos e dispositivos NAS.

(NAS é a abreviação de armazenamento conectado à rede, normalmente uma caixa cheia de discos rígidos que você conecta à sua LAN e que aparece automaticamente como um servidor de arquivos que todos os outros computadores podem acessar.)

Imprima seu próprio passaporte!

O Samba acaba de ser atualizado para corrigir várias vulnerabilidades de segurança, incluindo um bug crítico relacionado a redefinições de senha.

Conforme detalhado no último Notas de lançamento do Samba, há seis bugs numerados CVE corrigidos, incluindo esses cinco…

…junto com este, que é o mais sério do lote, como você verá imediatamente na descrição do bug:

Em teoria, o CVE-2022-32744 bug pode ser explorado por qualquer usuário na rede.

Em termos gerais, os invasores podem disputar o serviço de mudança de senha do Samba, conhecido como kpasswd, através de uma série de tentativas falhadas de alteração de senha…

…até que finalmente aceitou uma solicitação de alteração de senha que foi autorizado pelos próprios atacantes.

Em termos de gíria, isso é o que você pode chamar de Imprima seu próprio passaporte (PYOP), onde você é solicitado a provar sua identidade, mas pode fazê-lo apresentando um documento “oficial” que você mesmo criou.

A santíssima trindade da cibersegurança

Como o relatório de bug do Samba coloca (nossa ênfase):

Bilhetes recebidos pelo kpasswd service foram descriptografados sem especificar que apenas as próprias chaves desse serviço devem ser testadas. Ao definir o nome do servidor do ticket para um principal associado à sua própria conta ou explorar um fallback em que chaves conhecidas seriam testadas até que uma adequada fosse encontrada, um invasor pode fazer com que o servidor aceite tickets criptografados com qualquer chave, incluindo sua própria.

Um usuário poderia assim altere a senha da conta de Administrador e obtenha controle total sobre o domínio. Seria possível a perda total de confidencialidade e integridade, bem como de disponibilidade, negando aos usuários o acesso às suas contas.

Como você se lembrará de quase todas as apresentações de segurança cibernética que você já viu, disponibilidade, confidencialidade e integridade são a “santíssima trindade” da segurança informática.

Esses três princípios destinam-se a garantir: que você sozinho possa visualizar seus dados privados (confidencialidade); que ninguém mais pode mexer com isso, mesmo que eles mesmos não possam lê-lo, sem que você saiba que foi noble (integridade); e que partes não autorizadas não podem impedir que você acesse suas próprias coisas (disponibilidade).

Claramente, se alguém pode redefinir a senha de todos (ou talvez queiramos dizer se todos podem redefinir a senha de qualquer pessoa), nenhuma dessas propriedades de segurança se aplica, porque os invasores podem entrar em sua conta, alterar seus arquivos e bloqueá-lo.

O que fazer?

O Samba vem em três sabores suportados: atual, anterior e pré-anterior.

As atualizações que você deseja são as seguintes:

• Se estiver usando a versão 4.16, atualize de 4.16.3 ou anterior para 4.16.4
• Se estiver usando a versão 4.15, atualize de 4.15.8 ou anterior para 4.15.9
• Se estiver usando a versão 4.14, atualize de 4.14.13 ou anterior para 4.14.14

Se você não puder atualizar, alguns dos bugs listados acima podem ser atenuados com alterações de configuração, embora algumas dessas alterações desativem a funcionalidade da qual sua rede pode depender, o que impediria você de usar essas soluções alternativas específicas.

Portanto, como sempre: Corrija cedo, corrija com frequência!

Se você usa uma distribuição Linux ou BSD que fornece o Samba como um pacote instalável, você já deve ter (ou deve receber em breve) uma atualização através do gerenciador de pacotes da sua distribuição; para dispositivos de rede, como caixas NAS, consulte seu fornecedor para obter detalhes.

---