ข้อผิดพลาดที่สำคัญของแซมบ้าอาจทำให้ใครก็ตามกลายเป็นผู้ดูแลโดเมนได้ – แก้ไขทันที!

Samba เป็นชุดเครื่องมือโอเพ่นซอร์สที่ใช้กันอย่างแพร่หลาย ซึ่งไม่เพียงแต่ทำให้คอมพิวเตอร์ Linux และ Unix สื่อสารกับเครือข่าย Windows ได้ง่าย แต่ยังให้คุณโฮสต์โดเมน Active Directory แบบ Windows โดยไม่ต้องใช้เซิร์ฟเวอร์ Windows เลย

ชื่อในกรณีที่คุณเคยสงสัย มาจาก SMB ที่ฟังดูมีความสุขและพูดง่าย ย่อมาจาก บล็อกข้อความเซิร์ฟเวอร์ซึ่งเป็นโปรโตคอลการแชร์ไฟล์ที่เป็นกรรมสิทธิ์ซึ่งย้อนกลับไปในช่วงต้นทศวรรษ 1980

ใครก็ตามที่มีหน่วยความจำที่ยาวเพียงพอจะจำได้ ซึ่งอาจไม่มีความเอาใจใส่มากนัก โดยเชื่อมต่อคอมพิวเตอร์ OS/2 เพื่อแชร์ไฟล์โดยใช้ SMB ผ่าน NetBIOS

Samba เริ่มต้นชีวิตในต้นปี 1990 ด้วยการทำงานอย่างหนักของ Andrew Tridgell ผู้บุกเบิกโอเพ่นซอร์สของออสเตรเลีย ผู้ซึ่งค้นพบจากหลักการเบื้องต้นว่า SMB ทำงานอย่างไร เพื่อที่เขาจะได้ใช้เวอร์ชันที่เข้ากันได้สำหรับ Unix ในขณะที่เขายุ่งอยู่กับปริญญาเอกที่ Australian National มหาวิทยาลัย.

(ปริญญาเอกของ Tridge คือ rsync, ชุดเครื่องมือซอฟต์แวร์อื่นที่คุณมี คงจะใช้ในอุบายบางอย่างแม้ว่าคุณจะไม่รู้ตัวก็ตาม)

SMB กลายเป็น CIFS, the ระบบไฟล์อินเทอร์เน็ตทั่วไปเมื่อ Microsoft เผยแพร่สู่สาธารณะในปี 1996 และนับแต่นั้นเป็นต้นมา SMB 2 และ SMB 3 ก็ได้ถือกำเนิดขึ้น ซึ่งยังคงเป็นโปรโตคอลเครือข่ายที่เป็นกรรมสิทธิ์ แต่ด้วยข้อกำหนดที่เผยแพร่อย่างเป็นทางการ ดังนั้นเครื่องมืออย่าง Samba จึงไม่ต้องพึ่งพาวิศวกรรมย้อนกลับอีกต่อไปและ การคาดเดาเพื่อให้การใช้งานที่เข้ากันได้

อย่างที่คุณจินตนาการได้ ประโยชน์ของ Samba หมายความว่ามีการใช้กันอย่างแพร่หลายในโลกของ Linux และ Unix รวมถึงภายในองค์กร ในระบบคลาวด์ และแม้กระทั่งบนฮาร์ดแวร์เครือข่าย เช่น เราเตอร์ในบ้านและอุปกรณ์ NAS

(NAS ย่อมาจาก ที่เก็บข้อมูลที่แนบมากับเครือข่ายโดยทั่วไปแล้วจะเป็นกล่องที่เต็มไปด้วยฮาร์ดดิสก์ที่คุณเสียบเข้ากับ LAN และจะแสดงเป็นไฟล์เซิร์ฟเวอร์ที่คอมพิวเตอร์เครื่องอื่นๆ ของคุณสามารถเข้าถึงได้โดยอัตโนมัติ)

พิมพ์หนังสือเดินทางของคุณเอง!

Samba เพิ่งได้รับการอัปเดตเพื่อแก้ไขช่องโหว่ด้านความปลอดภัยจำนวนหนึ่ง รวมถึงจุดบกพร่องที่สำคัญที่เกี่ยวข้องกับการรีเซ็ตรหัสผ่าน

ตามรายละเอียดล่าสุด บันทึกประจำรุ่นของแซมบ้า, มีจุดบกพร่องที่มีหมายเลข CVE หกตัวที่ได้รับการแก้ไขแล้ว รวมถึงห้าตัวนี้...

…พร้อมกับอันนี้ ซึ่งเป็นส่วนที่ร้ายแรงที่สุดของล็อต ดังที่คุณจะเห็นได้ทันทีจากคำอธิบายข้อบกพร่อง:

ในทางทฤษฎีแล้ว CVE-2022-32744 ผู้ใช้ทุกคนในเครือข่ายสามารถใช้ประโยชน์จากจุดบกพร่องได้

พูดอย่างหลวม ๆ ผู้โจมตีสามารถทะเลาะวิวาทบริการเปลี่ยนรหัสผ่านของ Samba ที่รู้จักกันในชื่อ kpasswd, ผ่านการพยายามเปลี่ยนรหัสผ่านที่ล้มเหลวหลายครั้ง...

…จนกระทั่งในที่สุดก็ยอมรับคำขอเปลี่ยนรหัสผ่าน ที่ได้รับอนุญาตจากผู้โจมตีเอง.

ในแง่สแลง นี่คือสิ่งที่คุณอาจเรียกว่า พิมพ์หนังสือเดินทางของคุณเอง (PYOP) การโจมตีที่ขอให้คุณพิสูจน์ตัวตนของคุณ แต่สามารถทำได้โดยแสดงเอกสาร "ทางการ" ที่คุณสร้างขึ้นเอง

ตรีเอกานุภาพแห่งความปลอดภัยในโลกไซเบอร์

ตามที่รายงานข้อผิดพลาดของ Samba ระบุไว้ (เน้นย้ำ):

ตั๋วที่ได้รับจาก kpasswd บริการถูกถอดรหัสโดยไม่ระบุว่าควรลองเฉพาะคีย์ของบริการนั้นเท่านั้น โดยการตั้งชื่อเซิร์ฟเวอร์ของตั๋วเป็นหลักที่เชื่อมโยงกับบัญชีของตนเอง หรือโดยการใช้ประโยชน์จากทางเลือกสำรองที่จะพยายามใช้คีย์ที่รู้จักจนกว่าจะพบคีย์ที่เหมาะสม ผู้โจมตีสามารถให้เซิร์ฟเวอร์ยอมรับตั๋วที่เข้ารหัสด้วยคีย์ใด ๆ รวมทั้งของตัวเอง.

ผู้ใช้สามารถทำได้ เปลี่ยนรหัสผ่านของบัญชีผู้ดูแลระบบและเข้าควบคุมโดเมนทั้งหมด. อาจสูญเสียการรักษาความลับและความถูกต้องสมบูรณ์ได้อย่างเต็มที่ เช่นเดียวกับความพร้อมใช้งานโดยการปฏิเสธไม่ให้ผู้ใช้เข้าถึงบัญชีของตน

อย่างที่คุณจำได้จากการแนะนำการรักษาความปลอดภัยทางไซเบอร์เกือบทุกอย่างที่คุณเคยเห็น ความพร้อมใช้งาน, ความลับ และ ความสมบูรณ์ เป็น “ตรีเอกานุภาพ” ของการรักษาความปลอดภัยคอมพิวเตอร์

หลักการทั้งสามนี้มีขึ้นเพื่อให้แน่ใจว่าคุณคนเดียวสามารถดูข้อมูลส่วนตัวของคุณได้ (ความลับ); ที่ไม่มีใครไปยุ่งกับมันได้ ถึงแม้จะอ่านเองไม่ได้ก็ตาม โดยที่คุณไม่รู้ตัวว่าถูกโน้มน้าวใจ (ความสมบูรณ์); และบุคคลที่ไม่ได้รับอนุญาตไม่สามารถป้องกันไม่ให้คุณเข้าถึงข้อมูลของคุณเองได้ (ความพร้อมใช้งาน).

เห็นได้ชัดว่า ถ้าใครสามารถรีเซ็ตรหัสผ่านของทุกคนได้ (หรือบางทีเราหมายถึงถ้าทุกคนสามารถรีเซ็ตรหัสผ่านของใครก็ได้) คุณสมบัติความปลอดภัยเหล่านั้นจะไม่มีผล เนื่องจากผู้โจมตีสามารถเข้าสู่บัญชีของคุณ เปลี่ยนไฟล์ และล็อคคุณออกได้

จะทำอย่างไร?

Samba มีสามรสชาติที่รองรับ: ปัจจุบัน ก่อนหน้า และก่อนหน้า

การอัปเดตที่คุณต้องการมีดังนี้:

• หากใช้เวอร์ชัน 4.16, อัปเดตจาก 4.16.3 หรือก่อนหน้าเป็น 4.16.4
• หากใช้เวอร์ชัน 4.15, อัปเดตจาก 4.15.8 หรือก่อนหน้าเป็น 4.15.9
• หากใช้เวอร์ชัน 4.14, อัปเดตจาก 4.14.13 หรือก่อนหน้าเป็น 4.14.14

หากคุณไม่สามารถอัปเดต บั๊กบางรายการข้างต้นสามารถบรรเทาได้ด้วยการเปลี่ยนแปลงการกำหนดค่า แม้ว่าการเปลี่ยนแปลงบางอย่างจะปิดฟังก์ชันการทำงานที่เครือข่ายของคุณอาจใช้ ซึ่งจะทำให้คุณไม่สามารถใช้วิธีแก้ไขปัญหาเฉพาะหน้าเหล่านั้นได้

ดังนั้นเช่นเคย: แพทช์ก่อน แพทช์บ่อย!

หากคุณใช้ distro Linux หรือ BSD ที่มี Samba เป็นแพ็คเกจที่ติดตั้งได้ คุณควรมี (หรือควรได้รับ) การอัปเดตผ่านตัวจัดการแพ็คเกจของ distro อยู่แล้ว สำหรับอุปกรณ์เครือข่าย เช่น กล่อง NAS ให้ตรวจสอบกับผู้จำหน่ายของคุณสำหรับรายละเอียด

---