Bulletin d'alerte Debian

DSA-5015-1 samba -- Mise à jour de sécurité

Date du rapport :

30 novembre 2021

Paquets concernés :

samba

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2020-25717.

Plus de précisions :

Andrew Bartlett a découvert que Samba, un serveur de fichier SMB/CIFS, d'impression et de connexion pour UNIX, peut mapper des utilisateurs de domaine sur des utilisateurs locaux d'une façon indésirable. Cela pourrait permettre à un utilisateur dans un domaine AD de devenir éventuellement superutilisateur sur les membres du domaine.

Un nouveau paramètre min domain uid (par défaut 1000) a été ajouté pour définir l'UID minimal permis lors du mappage d'un compte local sur un compte de domaine.

Davantage de détails et de solutions peuvent être trouvés dans l'avertissement amont https://www.samba.org/samba/security/CVE-2020-25717.html

Pour la distribution oldstable (Buster), ce problème a été corrigé dans la version 2:4.9.5+dfsg-5+deb10u2. En outre, la mise à jour atténue le CVE-2020-25722. Malheureusement les modifications exigées pour corriger des CVE supplémentaires affectant Samba en tant que contrôleur de domaine compatible avec AD sont trop invasives pour être rétroportées. Aussi, les utilisateurs se servant de Samba comme contrôleur de domaine compatible avec AD sont encouragés à migrer vers Debian Bullseye. Dorénavant, les installations de contrôleur de domaine AD ne sont plus prises en charge dans Debian oldstable.

Nous vous recommandons de mettre à jour vos paquets samba.

Pour disposer d'un état détaillé sur la sécurité de samba, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/samba.