Deutsch | English
Dieser Blog enthält keine offiziellen Aussagen von CERT.at, sondern persönliche Meinungen einzelner Mitarbeiter.

Tanze (aktualisierten) Samba mit mir

26. Mai 2017

Die Erinnerung an CVE-2017-0144, und die Auswirkungen von WannaCry, ist bei uns allen noch frisch im Gedächtnis verankert, und damit keine Langeweile aufkommt, hat Samba nun ein Advisory bezüglich einer kritischen Schwachstelle veröffentlicht:

All versions of Samba from 3.5.0 onwards are vulnerable to a remote code execution vulnerability, allowing a malicious client to upload a shared library to a writable share, and then cause the server to load and execute it.
Der "Vorteil" bei dieser Lücke ist, dass es einen authentifizierten Benutzer mit Schreibrechten benötigt, um sie auszunutzen, oder komplett deaktivierte Zugriffskontrolle.

Die Zahl der auf diese Weise potentiell betroffenen Systeme in Österreich ist, laut simpler Suche bei Shodan, vergleichsweise gering, dennoch raten wir natürlich zum raschen Einspielen des Patches, vor allem in Anbetracht der öffentlichen Verfügbarkeit von Exploits. Für Systeme, auf denen eine Aktualisierung nicht möglich ist (beispielsweise NAS-Systeme von der Stange) gibt es einen empfohlenen Workaround.

Gleichzeitig kann dies als Anlass genommen werden, die Wahl von SMB als Protokoll für Dateizugriffe über das Internet zu überdenken, erfahrungsgemäss sorgen Verbindungen mit hoher Latenz für merkbare Probleme mit Samba, und standardmässig erfolgt der Datentransfer unverschlüsselt - hier gibt es heutzutage bessere Alternativen.

Autor: Alexander Riepl

Email: reports@cert.at
Tel.: +43 1 5056416 78
mehr ...
Kritische Schwachstelle in Microsoft Remote Desktop Services - Updates verfügbar
16. Mai 2019 | Beschreibung | Microsoft ...
Update: ASUS Live Update verbreitete Schadsoftware
25. März 2019 | Update: ...
mehr ...
Cyber Security Challenge 2019
17. Mai 2019 | Auch heuer ...
Der Teufel steckt im Detail - und sollte trotzdem nicht ignoriert werden!
15. Mai 2019 | Es ist ...
mehr ...
Jahresbericht 2017
Ein Resumee zur digitalen Sicherheitslage in Österreich

(HTML, PDF).
Letzte Änderung: 2017/5/26 - 13:52:38
Haftungsausschluss / Datenschutzerklärung