Опубликованы корректирующие выпуски пакета Samba 4.15.2, 4.14.10 и 4.13.14 с устранением 8 уязвимостей, большинство из которых могут привести к полной компрометации домена Active Directory. Примечательно, что одну из проблем исправляли с 2016 года, а пять – с 2020 года, тем не менее одно исправление привело к невозможности запустить winbindd при наличии настройки “allow trusted domains = no” (разработчики намерены оперативно опубликовать ещё одно обновление с исправлением). Выпуск обновлений пакетов в дистрибутивах можно проследить на страницах: Debian, Ubuntu, RHEL, SUSE, Fedora, Arch, FreeBSD.
Устранённые уязвимости:
- CVE-2020-25717 – из-за недоработки логики маппинга пользователей домена с пользователями локальной системы, пользователь домена Active Directory, имеющий возможность создавать новые учётные записи на своей системе, управляемые через ms-DS-MachineAccountQuota, мог получить доступ с правами root на другие системы, входящие в домен.
- CVE-2021-3738 – обращение к уже освобождённой области памяти (Use after free) в реализации RPC-сервера Samba AD DC (dsdb), которое потенциально может привести к повышению привилегий при манипуляции с установкой соединений.
- CVE-2016-2124 – клиентские соединения, установленные с использованием протокола SMB1, могли быть переведены на передачу параметров аутентификации открытым текстом или через NTLM (например, для определения учётных данных при совершении MITM-атак), даже если для пользователя или приложения в настройках определена обязательная аутентификация через Kerberos.
- CVE-2020-25722 – в контроллере домена Active Directory на базе Samba не выполнялись должные проверки доступа к хранимым данным, что позволяло любому пользователю обойти проверки полномочий и полностью скомпрометировать домен.
- CVE-2020-25718 – в контроллере домена Active Directory на базе Samba не корректно изолировались ticket-ы Kerberos, выданные RODC (Read-only domain controller), что могло использоваться для получения у RODC тикетов администратора, не имея на это полномочий.
- CVE-2020-25719 – контроллер домена Active Directory на базе Samba не всегда учитывал в связке поля SID и PAC в ticket-ах Kerberos (при настройке “gensec:require_pac = true” проверялось только имя, а PAC не учитывался), что позволяло пользователю, имеющему право создавать учётные записи на локальной системе, выдать себя за другого пользователя в домене, в том числе привилегированного.
- CVE-2020-25721 – для пользователей, прошедших аутентификацию с использованием Kerberos, выдавались не всегда уникальные идентификаторы для Active Directory (objectSid), что могло привести к пересечениям одного пользователя с другим.
- CVE-2021-23192 – при проведении MITM-атаки имелась возможность подмены фрагментов в больших запросах DCE/RPC, разбиваемых на несколько частей.
Release.
Ссылка here.