Debians sikkerhedsbulletin

DSA-5015-1 samba -- sikkerhedsopdatering

Rapporteret den:

30. nov 2021

Berørte pakker:

samba

Sårbar:

Referencer i sikkerhedsdatabaser:

I Mitres CVE-ordbog: CVE-2020-25717.

Yderligere oplysninger:

Andrew Bartlett opdagede at Samba, SMB/CIFS-fil-, print- og loginserver til Unix, kunne omsætte domænebrugere til lokale brugere på en uønsket måde. Dermed kunne en bruger i et AD-domæne potentielt få rootadgang på domænemedlemmer.

Et nyt parameter min domain uid (standardværdi 1000), er tilføjet for at angive den minimale uid, som er tilladt ved omsætning af en lokal konto til en domænekonto.

Yderligere oplysninger og omgåelser, finder man i opstrøms bulletin https://www.samba.org/samba/security/CVE-2020-25717.html

I den gamle stabile distribution (buster), er dette problem rettet i version 2:4.9.5+dfsg-5+deb10u2. Desuden afhjælper denne opdatering CVE-2020-25722. Desværre er de krævede ændringer til at rette yderligere CVE'er, der påvirker Samba som en AD-kompatibel domaincontroller, for omfattende til at kunne tilbageføres. Folk der anvender Samba som en AD-kompatibel domaincontroller, opfordres til at migrere til Debian bullseye. Gældende fra dette tidspunkt, er opsætninger med en AD-domaincontroller ikke længere understøttet i den gamle stabile udgave af Debian.

Vi anbefaler at du opgraderer dine samba-pakker.

For detaljeret sikkerhedsstatus vedrørende samba, se dens sikkerhedssporingssidede på: https://security-tracker.debian.org/tracker/samba