Hace poco se lanzaron las actualizaciones de paquetes correctivos para diversas versiones Samba, las cuales fueron las versiones 4.15.2, 4.14.10 y 4.13.14, en ellos se implementaron los cambios que incluyen la eliminación de 8 vulnerabilidades, la mayoría de las cuales pueden llevar a un compromiso completo del dominio de Active Directory.

Cabe señalar que uno de los problemas se corrigió en 2016, y cinco, a partir de 2020, aunque una corrección provocó la imposibilidad de ejecutar winbindd en la configuración de presencia «allow trusted domains=no» (los desarrolladores tienen la intención de publicar de inmediato otra actualización para reparar).

Estas funciones pueden ser bastante peligrosas en las manos equivocadas, ya que el usuario quien crea tales cuentas tiene amplios privilegios para no solo crearlas y establecer sus contraseñas, pero para cambiarles el nombre en un momento posterior con la única restricción es que pueden no coincidir con un samAccountName existente.

Cuando Samba actua como miembro del dominio AD acepta un ticket de Kerberos, debe mapear la información que se encuentra allí a un ID de usuario de UNIX local (uid). Esta se realiza actualmente a través del nombre de la cuenta en Active Directory Certificado de atributo privilegiado de Kerberos (PAC) generado, o el nombre de la cuenta en el ticket (si no hay PAC).

Por ejemplo, Samba intentará encontrar un usuario «DOMINIO \ usuario» antes recurriendo a intentar encontrar el usuario «usuario». Si la búsqueda de DOMINIO \ usuario puede fallar, entonces un privilegio la escalada es posible.

Para quienes desconocen de Samba, deben saber que este es un proyecto que continúa con el desarrollo de la rama de Samba 4.x con una implementación completa de un controlador de dominio y servicio de Active Directory, compatible con la implementación de Windows 2000 y capaz de atender todas las versiones de clientes de Windows compatibles con Microsoft, incluido Windows 10.

Samba 4, es un producto de servidor multifuncional, que también proporciona la implementación de un servidor de archivos, servicio de impresión y servidor de autenticación (winbind).

De las vulnerabilidades que fueron eliminadas en las actualizaciones lanzadas se mencionan las siguientes:

• CVE-2020-25717: debido a una falla en la lógica de mapeo de usuarios de dominio con usuarios del sistema local, un usuario de dominio de Active Directory que tiene la capacidad de crear nuevas cuentas en su sistema, administradas a través de ms-DS-MachineAccountQuota, podría obtener acceso root a otros sistemas incluidos en el dominio.
• CVE-2021-3738: acceso a un área de memoria ya liberada (Usar después de libre) en la implementación del servidor Samba AD DC RPC (dsdb), que puede conducir potencialmente a una escalada de privilegios al manipular la configuración de la conexión.
  CVE-2016-2124: las conexiones de cliente establecidas mediante el protocolo SMB1 podrían transferirse a la transmisión de parámetros de autenticación en texto sin formato o mediante NTLM (por ejemplo, para determinar las credenciales para ataques MITM), incluso si el usuario o la aplicación están configurados como autenticación obligatoria a través de Kerberos.
• CVE-2020-25722: no se realizaron comprobaciones adecuadas de acceso al almacenamiento en un controlador de dominio de Active Directory basado en Samba, lo que permite a cualquier usuario omitir las credenciales y comprometer completamente el dominio.
• CVE-2020-25718: los tickets de Kerberos emitidos por el RODC (controlador de dominio de solo lectura) no se aislaron correctamente en el controlador de dominio de Active Directory basado en Samba, que podría usarse para obtener tickets de administrador del RODC sin tener la autoridad para hacerlo asi que.
• CVE-2020-25719: el controlador de dominio de Active Directory basado en Samba no siempre tuvo en cuenta los campos SID y PAC en los tickets de Kerberos en el paquete (al configurar «gensec: require_pac = true», solo se verificó el nombre y PAC no tomado en cuenta), lo que permitió al usuario, que tiene derecho a crear cuentas en el sistema local, hacerse pasar por otro usuario del dominio, incluido uno privilegiado.
• CVE-2020-25721: para los usuarios autenticados mediante Kerberos, no siempre se emitieron identificadores únicos para Active Directory (objectSid), lo que podría dar lugar a intersecciones de un usuario con otro.
• CVE-2021-23192: durante el ataque MITM, fue posible falsificar fragmentos en solicitudes DCE / RPC grandes que se dividieron en varias partes.

Finalmente, si estás interesado en conocer más al respecto, puedes consultar los detalles en el siguiente enlace.