Eroarea critică Samba ar putea permite oricui să devină administrator de domeniu – corecționează acum!

Samba este un set de instrumente cu sursă deschisă utilizat pe scară largă, care nu numai că facilitează comunicarea computerelor Linux și Unix cu rețelele Windows, dar vă permite și găzduiți un domeniu Active Directory în stil Windows fără servere Windows.

Numele, în cazul în care v-ați întrebat vreodată, este o derivație care sună fericit și ușor de spus de la SMB, prescurtare pentru Blocul mesajelor serverului, un protocol proprietar de partajare a fișierelor care datează de la începutul anilor 1980.

Oricine are o memorie suficient de lungă își va aminti, probabil fără o cantitate enormă de afecțiune, conectarea computerelor OS/2 pentru a partaja fișiere folosind SMB prin NetBIOS.

Samba și-a început viața la începutul anilor 1990 datorită muncii asidue a pionierului australian de surse deschise Andrew Tridgell, care și-a dat seama din primele principii cum funcționează SMB, astfel încât să poată implementa o versiune compatibilă pentru Unix în timp ce era ocupat cu doctoratul său la Australian National. Universitate.

(Apropo, doctoratul lui Tridge a fost rsync, un alt set de instrumente software pe care îl aveți probabil folosit într-o formă oarecare, chiar dacă nu-ți dai seama.)

SMB transformat în CIFS, the Sistem comun de fișiere de internet, când a fost făcut public de Microsoft în 1996, și de atunci a dat naștere SMB 2 și SMB 3, care sunt încă protocoale de rețea proprietare, dar cu specificații care sunt publicate oficial, astfel încât instrumente precum Samba să nu mai trebuiască să se bazeze pe inginerie inversă și presupuneri pentru a oferi implementări compatibile.

După cum vă puteți imagina, utilitatea Samba înseamnă că este utilizat pe scară largă în lumea Linux și Unix, inclusiv în interior, în cloud și chiar și pe hardware de rețea, cum ar fi routerele de acasă și dispozitivele NAS.

(NAS este prescurtarea pentru rețea de stocare atașată la rețea, de obicei o cutie plină cu hard disk-uri pe care le conectați la LAN și care apare automat ca un server de fișiere pe care îl pot accesa toate celelalte computere.)

Printează-ți propriul pașaport!

Samba tocmai a fost actualizat pentru a remedia o serie de vulnerabilități de securitate, inclusiv o eroare critică legată de resetarea parolei.

După cum este detaliat în cel mai recent Note de lansare Samba, există șase erori cu numere CVE remediate, inclusiv aceste cinci...

… alături de acesta, care este cel mai grav din lot, după cum veți vedea imediat din descrierea bug-ului:

În teorie, CVE-2022-32744 bug-ul poate fi exploatat de orice utilizator din rețea.

Pe scurt, atacatorii s-ar putea lupta cu serviciul Samba de schimbare a parolelor, cunoscut sub numele de kpasswd, printr-o serie de încercări eșuate de schimbare a parolei...

… până când în cele din urmă a acceptat o cerere de schimbare a parolei care a fost autorizat chiar de atacatori.

În termeni argotici, acesta este ceea ce ați putea numi a Imprimați-vă propriul pașaport (PYOP), în care vi se cere să vă dovediți identitatea, dar puteți face acest lucru prezentând un document „oficial” pe care l-ați creat singur.

Sfânta Treime a securității cibernetice

După cum spune raportul de eroare Samba (sublinierea noastră):

Biletele primite de către kpasswd serviciul au fost decriptate fără a specifica faptul că ar trebui încercate doar cheile proprii ale serviciului respectiv. Prin setarea numelui de server al biletului la un principal asociat cu propriul cont sau prin exploatarea unei alternative în care cheile cunoscute ar fi încercate până când a fost găsită una potrivită, un atacator ar putea face ca serverul să accepte bilete criptate cu orice cheie, inclusiv a lor.

Un utilizator ar putea astfel schimbați parola contului de administrator și obțineți control total asupra domeniului. Ar fi posibilă pierderea completă a confidențialității și integrității, precum și a disponibilității prin interzicerea accesului utilizatorilor la conturile lor.

După cum vă veți aminti din aproape orice introducere în domeniul securității cibernetice pe care ați văzut-o vreodată, disponibilitate, confidențialitate și integritate sunt „sfânta trinitate” a securității computerelor.

Aceste trei principii sunt menite să asigure: că numai dvs. puteți vizualiza datele dvs. private (confidențialitate); că nimeni altcineva nu se poate încurca cu ea, chiar dacă nu o poate citi ei înșiși, fără să te facă să conștientizezi că a fost nobilată (integritate); și că părțile neautorizate nu vă pot împiedica să accesați propriile lucruri (disponibilitate).

În mod clar, dacă cineva poate reseta parola tuturor (sau poate ne referim dacă toată lumea poate reseta parola cuiva), nici una dintre aceste proprietăți de securitate nu se aplică, deoarece atacatorii pot intra în contul dvs., vă pot schimba fișierele și vă pot bloca.

Ce să fac?

Samba este disponibil în trei arome acceptate: actuală, anterioară și anterioară.

Actualizările dorite sunt următoarele:

• Dacă utilizați versiunea 4.16, actualizați de la 4.16.3 sau mai devreme la 4.16.4
• Dacă utilizați versiunea 4.15, actualizați de la 4.15.8 sau mai devreme la 4.15.9
• Dacă utilizați versiunea 4.14, actualizați de la 4.14.13 sau mai devreme la 4.14.14

Dacă nu puteți actualiza, unele dintre erorile enumerate mai sus pot fi atenuate cu modificări de configurare, deși unele dintre aceste modificări dezactivează funcționalitatea pe care s-ar putea baza rețeaua dvs., ceea ce v-ar împiedica să utilizați acele soluții speciale.

Prin urmare, ca întotdeauna: Patch devreme, Patch Des!

Dacă utilizați o distribuție Linux sau BSD care oferă Samba ca pachet instalabil, ar trebui să aveți deja (sau ar trebui să primiți în curând) o actualizare prin managerul de pachete al distribuției dvs.; pentru dispozitivele de rețea, cum ar fi cutiile NAS, consultați furnizorul pentru detalii.

---