Múltiples vulnerabilidades en Samba

INTRODUCCIÓN

Se han reportado 3 vulnerabilidades en Samba, una de severidad alta (CVE-2023-0614) y dos de severidad media(CVE-2023-0225, CVE-2023-0922), cuya explotación podría permitir a un atacante realizar una escalada de privilegios, eliminar atributos u obtener contraseñas. En este artículo cubriremos la vulnerabilidad más grave, pero las recomendaciones son las mismas para todas.

ANÁLISIS

CVE-2023-0614 CVSS 7.7:

En Active Directory, hay esencialmente cuatro clases diferentes de atributos.

• Atributos secretos (como un usuario, equipo o contraseña de confianza de dominio) que nunca se revelan y no están disponibles para buscar en LDAP. Se trata de una lista codificada y, desde Samba 4.8, se cifran adicionalmente en la base de datos con una clave por base de datos.
• Atributos confidenciales (marcados como tales en el esquema) que tienen una restricción de acceso por defecto que sólo permite el acceso al propietario del objeto.
• Atributos de acceso controlado (para lecturas o escrituras), Samba respetará el control de acceso especificado en el ntSecurityDescriptor.
• Atributos públicos para lectura. La mayoría de los atributos en Active Directory están disponibles para ser leídos por todos los usuarios autenticados.

Debido a que las reglas de control de acceso para un atributo dado no son consistentes entre objetos, Samba implementó restricciones de control de acceso sólo después de comparar objetos contra el filtro.

Tomando cada una de las clases anteriores a su vez:

• Los atributos secretos se evitan de la divulgación en primer lugar por la redacción del filtro LDAP, y en segundo lugar por el hecho de que todavía están encriptados durante el procesamiento del filtro (por defecto).
• Los atributos confidenciales y de acceso controlado eran objeto de un ataque mediante filtros LDAP.

Con este parche de seguridad, para los atributos mencionados en el filtro de búsqueda, Samba realizará una evaluación de control de acceso por objeto antes de la coincidencia del filtro LDAP en el atributo, evitando la divulgación no autorizada del valor de (por ejemplo) las claves de recuperación de BitLocker.

No se espera que se hayan evitado todos los ataques similares, y es probable que aún sea posible determinar si un objeto o atributo de un objeto está presente, pero no obtener su contenido.

VERSIONES AFECTADAS

Todas las versiones de Samba desde Samba 4.0

RECOMENDACIONES

Actualice a las siguientes versiones:

• 4.16.10
• 4.17.7
• 4.18.1

Como recomendación adicional para el CVE-2023-0614:

No almacene información confidencial en Active Directory, salvo contraseñas o claves necesarias para el funcionamiento de AD.

REFERENCIAS

https://www.samba.org/samba/security
https://www.samba.org/samba/security/CVE-2023-0614.html
https://www.samba.org/samba/security/CVE-2023-0225.html
https://www.samba.org/samba/security/CVE-2023-0922.html