Обнаружена уязвимость в Active Directory (AD) системе Samba
В системе Active Directory (AD) от Samba была обнаружена критическая уязвимость. Эта уязвимость может позволить злоумышленникам повысить привилегии в системе и даже захватить весь домен.
Уязвимость отслеживается как CVE-2023-3961 и возникает в версиях Samba 4.13.0 и выше, когда она используется в качестве контроллера домена Active Directory. Уровень опасности уязвимости оценивается в 7.5 баллов по шкале CVSS v3, что означает серьезную угрозу.
Причина уязвимости
Уязвимость возникает из-за неправильной настройки прав доступа при создании новых объектов в системе Samba. Если администраторам предоставлены специальные права на создание объектов, они могут также изменять атрибуты этих объектов, которые связаны с безопасностью.
Когда злоумышленник имеет специальные права, он может изменить безопасность нового объекта и повысить свои привилегии. Иными словами, поскольку администраторы считаются «создателями» объектов при их создании, они получают дополнительные права.
Риски при эксплуатации уязвимости
Если злоумышленник использует эту уязвимость, он может повысить свои права и получить доступ ко всей системе Active Directory. Это представляет собой серьезную угрозу, особенно для организаций.
Обновления для устранения уязвимости
Команда Samba выпустила обновления для устранения уязвимости:
- Samba 4.18.3
- Samba 4.17.9
- Samba 4.16.13
Администраторам настоятельно рекомендуется как можно быстрее установить эти обновления.
Рекомендации, если обновление невозможно установить немедленно
Если обновление не может быть установлено немедленно, администраторам следует:
- Внимательно следить за учетными записями делегированных администраторов и ограничить их доступ.
- Применять принцип минимальных привилегий.
- Регулярно проверять права доступа в системе Active Directory.
Важные замечания
- Эта уязвимость опасна только для Samba, использующейся как контроллер домена Active Directory.
- Samba, использующаяся как файловый сервер или сервер доменных участников, не подвержена этой уязвимости.
- Некоторые дистрибутивы Linux, такие как Red Hat Enterprise Linux, не затронуты, поскольку они используют Samba только как файловый сервер.
Заключение
Риск повышения привилегий в системе Samba AD представляет собой серьезную проблему. Если вы используете Samba AD, немедленно устраните эту уязвимость. Обновление системы, контроль доступа и регулярные проверки безопасности — это важные шаги для защиты вашей инфраструктуры.
