Podatności Samba

Podatność w Samba Active Directory Domain Controller (AD DC) łączy wstrzykiwanie filtra LDAP z nieprawidłową kontrolą autoryzacji, umożliwiając uwierzytelnionemu użytkownikowi domeny o niskich uprawnieniach ujawnienie poufnych atrybutów AD, takich jak msKds-RootKeyData, co może prowadzić do eskalacji uprawnień i pełnego przejęcia domeny.

Samba przed wersją 4.7.3 może pozwolić zdalnym atakującym na uzyskanie poufnych informacji poprzez wykorzystanie niepowodzenia serwera w oczyszczeniu przydzielonej pamięci sterty.

W bibliotece Samba w wersjach 4.x przed 4.2.14, 4.3.x przed 4.3.11 oraz 4.4.x przed 4.4.5 występuje podatność, która pozwala atakującym typu man-in-the-middle na ominięcie mechanizmu ochrony podpisu klienta. To umożliwia fałszowanie serwerów SMB2 i SMB3.

Samba w wersjach 4.x przed 4.2.11, 4.3.x przed 4.3.8 oraz 4.4.x przed 4.4.2 nie weryfikuje certyfikatów X.509 z serwerów TLS, co umożliwia atakującym typu man-in-the-middle podszywanie się pod serwery LDAPS i HTTPS oraz uzyskiwanie wrażliwych informacji za pomocą spreparowanego certyfikatu.

Funkcja samldb_check_user_account_control_acl w Samba 4.x przed wersją 4.1.22, 4.2.x przed 4.2.7 oraz 4.3.x przed 4.3.3 nie sprawdza poprawnie uprawnień administracyjnych podczas tworzenia kont maszynowych. Umożliwia to zdalnym uwierzytelnionym użytkownikom obejście zamierzonych ograniczeń dostępu.

W systemie Samba w wersjach 3.x i 4.x przed 4.1.22, 4.2.x przed 4.2.7 oraz 4.3.x przed 4.3.3, występuje podatność, która pozwala zdalnym atakującym na obejście ograniczeń dostępu do plików poprzez wykorzystanie symlinków wskazujących poza udostępniony zasób, gdy istnieją określone relacje podciągów w nazwach udostępnień.

Implementacja serwera Netlogon w smbd w wersjach Samba 3.5.x i 3.6.x przed 3.6.25, 4.0.x przed 4.0.25, 4.1.x przed 4.1.17 oraz 4.2.x przed 4.2.0rc5 wykonuje operację zwolnienia na niezainicjowanym wskaźniku stosu. To pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą spreparowanych pakietów Netlogon.

Wersje Samba 4.0.x przed 4.0.24, 4.1.x przed 4.1.16 oraz 4.2.x przed 4.2rc4, w przypadku skonfigurowanego kontrolera domeny Active Directory (AD DC), pozwalają zdalnym uwierzytelnionym użytkownikom na ustawienie bitu LDB userAccountControl UF_SERVER_TRUST_ACCOUNT, co prowadzi do uzyskania przywilejów.

Uwierzytelniony użytkownik Samba AD z niskimi uprawnieniami może modyfikować wewnętrzne specjalne DN-y LDB poprzez dostęp LDAP, co umożliwia przejęcie domeny.

W Samba wykryto podatność polegającą na nieprawidłowym escapowaniu znaków specjalnych w skrypcie 'check password script' z parametrem %u. Zdalny atakujący może wykorzystać tę lukę do wykonania dowolnych poleceń na serwerze.

Podsystem drukowania Samba zawiera lukę, w której ciąg opisu zadania drukowania kontrolowany przez klienta jest przekazywany do polecenia skonfigurowanego w ustawieniu „print command” przez podstawienie „%J” bez odpowiedniego escapowania znaków shell. Zdalny atakujący może wysłać spreparowany opis zadania drukowania zawierający nieescapowane znaki shell, co prowadzi do zdalnego wykonania kodu.

W Samba, w obsłudze hooka WINS, nazwy NetBIOS z pakietów rejestracji są przekazywane do powłoki bez odpowiedniej walidacji lub escapowania. Nieoczyszczone dane nazw NetBIOS z pakietów rejestracji WINS są wstawiane do polecenia powłoki i wykonywane przez hook WINS kontrolera domeny Samba Active Directory, co pozwala nieuwierzytelnionemu atakującemu sieciowemu na zdalne wykonanie kodu jako proces Samba.

Podatność typu use-after-free w Samba 4.x przed wersją 4.7.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane żądanie SMB1.

Samba zawiera błąd przepełnienia bufora, który umożliwia zdalnemu atakującemu uzyskanie dostępu do konta root poprzez podanie długiego hasła.

W module vfs_ceph_rgw Samby wykryto obejście kontroli dostępu w funkcji openat(). Uwierzytelniony użytkownik może ominąć mechanizmy kontroli dostępu, aby odczytać lub nadpisać pliki z ograniczeniami na udziałach skonfigurowanych z eksperymentalnym modułem vfs_ceph_rgw. Gdy klient żąda istniejącego pliku z niezgodną wielkością liter, moduł nie wykonuje poprawnie wyszukiwania bez rozróżniania wielkości liter, przez co serwer traktuje operację jako tworzenie nowego pliku i pomija standardowe sprawdzenia uprawnień.

W usłudze kpasswd (zmiana hasła Kerberos) w Samba stwierdzono błąd odczytu poza zakresem. Podczas przetwarzania nieprawidłowo zakodowanego żądania ASN.1 serwer błędnie oblicza rozmiar struktury i próbuje odczytać do sześciu bajtów poza przydzielonym buforem. Może to spowodować awarię procesu KDC, prowadząc do odmowy usługi.

W serwerze DNS Samba wykryto podatność polegającą na dodawaniu nieuwierzytelnionych żądań TKEY do pamięci podręcznej przed ich odrzuceniem. Zdalny, nieuwierzytelniony atakujący może wysłać dużą liczbę żądań TKEY z dowolnymi nazwami, wyczerpując pamięć podręczną i usuwając prawidłowe wpisy TKEY.

W Samba, w komponencie pam_winbind, wykryto podatność polegającą na braku walidacji ścieżki katalogu domowego przed zmianą jego właściciela (chown) przy włączonej opcji mkhomedir. Umożliwia to nie tylko rootowi, ale także nieuprzywilejowanemu użytkownikowi z delegacją sudo, zmianę właściciela katalogu głównego (/), co prowadzi do poważnej utraty dostępności systemu (awarie SSH, sudo i menedżerów pakietów).

W serwerze WINS Samby działającym jako kontroler domeny Active Directory, procedury obsługi protokołu WINS dla niektórych typów żądań nieprawidłowo walidują przychodzące pakiety. Nieuwierzytelniony zdalny atakujący może wysłać specjalnie spreparowane pakiety UDP, powodując wyłuskanie wskaźnika NULL i awarię usługi WINS.

W module vfs_worm Samby wykryto lukę umożliwiającą ominięcie ochrony WORM (write-once, read-many) podczas operacji zmiany nazwy pliku. Uwierzytelniony użytkownik z prawem zapisu do udziału może nadpisać chroniony plik, zmieniając nazwę nowo utworzonego pliku na nazwę istniejącego pliku chronionego.

W Samba stwierdzono lukę w obsłudze punktów ponownej analizy (reparse points) w stylu NTFS na udziałach skonfigurowanych jako tylko do odczytu (read only = yes). Z powodu braku kontroli dostępu na poziomie SMB, uwierzytelnieni użytkownicy z uprawnieniami do zapisu w systemie plików mogą tworzyć lub usuwać metadane punktów ponownej analizy przez operacje SMB, nawet na eksportach tylko do odczytu.

W Samba wykryto podatność w obsłudze automatycznego rejestrowania certyfikatów przez zasady grupy. Gdy funkcja jest włączona, Samba może pobrać certyfikat CA przez nieszyfrowane połączenie HTTP i zainstalować go w zaufanym magazynie bez odpowiedniej weryfikacji.

W module vfs_streams_xattr oprogramowania Samba stwierdzono wadę polegającą na zapisywaniu niezainicjalizowanej pamięci sterty do alternatywnych strumieni danych. Umożliwia to uwierzytelnionemu użytkownikowi odczytanie resztkowej zawartości pamięci, która może zawierać wrażliwe dane, prowadząc do wycieku informacji.

W Samba wykryto błąd, w którym demon smbd nie uwzględnia zmian członkostwa w grupach podczas ponownego uwierzytelniania wygasłej sesji SMB. Problem może ujawniać udziały plików do czasu rozłączenia i ponownego połączenia klientów.

Wykryto podatność w mechanizmie podpisywania pakietów SMB2 w Samba. Podpisywanie pakietów SMB2 nie jest egzekwowane, gdy administrator skonfigurował 'server signing = required' lub w przypadku połączeń SMB2 z kontrolerami domeny, gdzie podpisywanie pakietów SMB2 jest obowiązkowe.

W podatności CVE-2023-34968 w Samba występuje ujawnienie ścieżki, które pozwala na ujawnienie absolutnej ścieżki serwera dla udziałów, plików i katalogów w wynikach zapytań wyszukiwania. Atakujący może wykorzystać tę lukę, aby uzyskać dostęp do informacji zawartych w ujawnionej ścieżce.

Narzędzie Samba Web Administration Tool (SWAT) w Sambie 2.0.7 instaluje plik dziennika cgi.log z uprawnieniami umożliwiającymi odczyt wszystkim użytkownikom. Pozwala to lokalnym użytkownikom odczytać informacje wrażliwe, takie jak nazwy użytkowników i hasła.

Samba Web Administration Tool (SWAT) w Samba 2.0.7 zwraca inny komunikat błędu dla poprawnej nazwy użytkownika niż dla niepoprawnej. Pozwala to zdalnym atakującym zidentyfikować prawidłowe nazwy użytkowników na serwerze.

Samba 1.9.18 niezamierzenie zawiera aplikację prototypową, wsmbconf, która jest instalowana z nieprawidłowymi uprawnieniami, w tym bitem setgid.