Deutsch | English
Dieser Blog enthält keine offiziellen Aussagen von CERT.at, sondern persönliche Meinungen einzelner Mitarbeiter.

Tanze (aktualisierten) Samba mit mir

26. Mai 2017

Die Erinnerung an CVE-2017-0144, und die Auswirkungen von WannaCry, ist bei uns allen noch frisch im Gedächtnis verankert, und damit keine Langeweile aufkommt, hat Samba nun ein Advisory bezüglich einer kritischen Schwachstelle veröffentlicht:

All versions of Samba from 3.5.0 onwards are vulnerable to a remote code execution vulnerability, allowing a malicious client to upload a shared library to a writable share, and then cause the server to load and execute it.
Der "Vorteil" bei dieser Lücke ist, dass es einen authentifizierten Benutzer mit Schreibrechten benötigt, um sie auszunutzen, oder komplett deaktivierte Zugriffskontrolle.

Die Zahl der auf diese Weise potentiell betroffenen Systeme in Österreich ist, laut simpler Suche bei Shodan, vergleichsweise gering, dennoch raten wir natürlich zum raschen Einspielen des Patches, vor allem in Anbetracht der öffentlichen Verfügbarkeit von Exploits. Für Systeme, auf denen eine Aktualisierung nicht möglich ist (beispielsweise NAS-Systeme von der Stange) gibt es einen empfohlenen Workaround.

Gleichzeitig kann dies als Anlass genommen werden, die Wahl von SMB als Protokoll für Dateizugriffe über das Internet zu überdenken, erfahrungsgemäss sorgen Verbindungen mit hoher Latenz für merkbare Probleme mit Samba, und standardmässig erfolgt der Datentransfer unverschlüsselt - hier gibt es heutzutage bessere Alternativen.

Autor: Alexander Riepl

Email: reports@cert.at
Tel.: +43 1 5056416 78
mehr ...
Sicherheitslücken (teils kritisch) in Cisco FXOS und NX-OS Software - Patches verfügbar
21. Juni 2018 | Beschreibung Cisco ...
Security Advisory für Microsoft Exchange Server
20. Juni 2018 | Beschreibung | Microsoft ...
mehr ...
DoS-Schwachstelle im Kernel - keine Panik!
7. August 2018 | In der ...
In eigener Sache: CERT.at sucht Verstärkung
5. Juni 2018 | Für unsere ...
mehr ...
Jahresbericht 2016
Ein Resumee zur digitalen Sicherheitslage in Österreich

(HTML, PDF).
Letzte Änderung: 2017/5/26 - 13:52:38
Haftungsausschluss / Datenschutzerklärung