Samba heeft uitgegeven software updates om meerdere beveiligingsproblemen aan te pakken die, indien succesvol misbruikt, aanvallers op afstand in staat zouden kunnen stellen willekeurige code uit te voeren met de hoogste privileges op getroffen installaties.
De belangrijkste onder hen is CVE-2021-44142, die effecten alle versies van Samba vóór 4.13.17 en betreft een buiten de grenzen heap lees-/schrijfkwetsbaarheid in de VFS-module “vfs_fruit” die compatibiliteit biedt met Apple SMB-clients.
samba is een populaire freeware-implementatie van het Server Message Block (SMB) -protocol waarmee gebruikers toegang hebben tot bestanden, printers en andere algemeen gedeelde bronnen via een netwerk.
“Alle versies van Samba ouder dan 4.13.17 zijn kwetsbaar voor een out-of-bounds heap lees-schrijf-kwetsbaarheid die externe aanvallers in staat stelt om willekeurige code als root uit te voeren op getroffen Samba-installaties die de VFS-module vfs_fruit gebruiken,” zeiden de beheerders in een advies gepubliceerd op 31 januari.
Volgens het CERT Coördinatiecentrum (CERT/CC), treft de fout ook veelgebruikte Linux-distributies zoals rode Hoed, SUSE Linux en Ubuntu.
De kwetsbaarheid, met een score van 9,9 op de CVSS-schaal, is toegeschreven aan beveiligingsonderzoeker Orange Tsai van DEVCORE, die vorig jaar de wijdverbreide fouten in Microsoft Exchange Server aan het licht bracht. Bovendien is de fix uitgebracht in Samba-versies 4.14.12 en 4.15.5.
Ook aangepakt door Samba zijn twee extra gebreken —
- CVE-2021-44141 (CVSS-score: 4.2) – Informatielek via symbolische links van het bestaan van bestanden of mappen buiten de geëxporteerde share (opgelost in Samba-versie 4.15.5)
- CVE-2022-0336 (CVSS-score: 3.1) – Samba AD-gebruikers met toestemming om naar een account te schrijven, kunnen zich voordoen als willekeurige services (opgelost in Samba-versies 4.13.17, 4.14.12 en 4.15.4)
Samba-beheerders wordt aangeraden om naar deze releases te upgraden of de patch zo snel mogelijk toe te passen om het defect te verhelpen en mogelijke aanvallen die misbruik maken van de kwetsbaarheid te verijdelen.
