Deutsch | English
Dieser Blog enthält keine offiziellen Aussagen von CERT.at, sondern persönliche Meinungen einzelner Mitarbeiter.

Tanze (aktualisierten) Samba mit mir

26. Mai 2017

Die Erinnerung an CVE-2017-0144, und die Auswirkungen von WannaCry, ist bei uns allen noch frisch im Gedächtnis verankert, und damit keine Langeweile aufkommt, hat Samba nun ein Advisory bezüglich einer kritischen Schwachstelle veröffentlicht:

All versions of Samba from 3.5.0 onwards are vulnerable to a remote code execution vulnerability, allowing a malicious client to upload a shared library to a writable share, and then cause the server to load and execute it.
Der "Vorteil" bei dieser Lücke ist, dass es einen authentifizierten Benutzer mit Schreibrechten benötigt, um sie auszunutzen, oder komplett deaktivierte Zugriffskontrolle.

Die Zahl der auf diese Weise potentiell betroffenen Systeme in Österreich ist, laut simpler Suche bei Shodan, vergleichsweise gering, dennoch raten wir natürlich zum raschen Einspielen des Patches, vor allem in Anbetracht der öffentlichen Verfügbarkeit von Exploits. Für Systeme, auf denen eine Aktualisierung nicht möglich ist (beispielsweise NAS-Systeme von der Stange) gibt es einen empfohlenen Workaround.

Gleichzeitig kann dies als Anlass genommen werden, die Wahl von SMB als Protokoll für Dateizugriffe über das Internet zu überdenken, erfahrungsgemäss sorgen Verbindungen mit hoher Latenz für merkbare Probleme mit Samba, und standardmässig erfolgt der Datentransfer unverschlüsselt - hier gibt es heutzutage bessere Alternativen.

Autor: Alexander Riepl

Email: reports@cert.at
Tel.: +43 1 5056416 78
mehr ...
Kritische Sicherheitslücken in Adobe Acrobat und Reader - Patches verfügbar
2. Oktober 2018 | Beschreibung Adobe ...
Kritische Sicherheitslücken in Adobe Acrobat und Reader - Patches verfügbar
19. September 2018 | Beschreibung Adobe ...
mehr ...
Der nächste Meilenstein: [CERT.at #1000000]
26. September 2018 | ...
DoS-Schwachstelle im Kernel - keine Panik!
7. August 2018 | In der ...
mehr ...
Jahresbericht 2016
Ein Resumee zur digitalen Sicherheitslage in Österreich

(HTML, PDF).
Letzte Änderung: 2017/5/26 - 13:52:38
Haftungsausschluss / Datenschutzerklärung