Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (28.12.2016):
SUSE veröffentlicht für die Produkte SUSE Linux Enterprise Software
Development Kit 12 SP1 und SP2, Server 12 SP1 und SP2, Server for
Raspberry Pi 12 SP2, High Availability 12 SP1 und SP2 sowie Desktop 12 SP1
und SP2 Sicherheitsupdates für Samba. Die ältere Schwachstelle
CVE-2016-2119 wird von diesen nicht aufgeführt, sie wurde für die
genannten Produkte in der Version 12 SP1 allerdings bereits im September
behoben.
Version 1 (20.12.2016):
Neues Advisory
Betroffene Software:
Samba < 4.3.13 Samba < 4.4.8 Samba < 4.5.3 Betroffene Plattformen: SUSE Linux Enterprise High Availability 12 SP1 SUSE Linux Enterprise High Availability 12 SP2 SUSE Linux Enterprise Software Development Kit 12 SP1 SUSE Linux Enterprise Software Development Kit 12 SP2 Canonical Ubuntu Linux 12.04 LTS Canonical Ubuntu Linux 14.04 LTS Canonical Ubuntu Linux 16.04 LTS Canonical Ubuntu Linux 16.10 Debian Linux 8.6 Jessie SUSE Linux Enterprise Desktop 12 SP1 SUSE Linux Enterprise Desktop 12 SP2 SUSE Linux Enterprise Server 12 SP1 SUSE Linux Enterprise Server 12 SP2 SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi Red Hat Fedora 24 Red Hat Fedora 25 Zwei Schwachstellen in Samba ermöglichen einem nicht authentisierten Angreifer im benachbarten Netzwerk Sicherheitsvorkehrungen zu umgehen und sich Benutzerrechte anzueignen. Zwei weitere Schwachstellen ermöglichen einem im benachbarten Netzwerk befindlichen, einfach authentisierten Angreifer die Eskalation seiner Rechte auf Administrationslevel, das Ausführen beliebigen Programmcodes und die Durchführung eines Denial-of-Service (DoS)-Angriffs. Die Schwachstellen CVE-2016-2123, CVE-2016-2125 und CVE-2016-2126 werden durch die Samba Sicherheitsupdates auf die Versionen 4.5.3, 4.4.8 und 4.3.13 behoben. Die Schwachstelle CVE-2016-2119 wurde bereits in den Samba Releases 4.4.5, 4.3.11 und 4.2.14 adressiert. Debian stellt für die stabile Distribution Debian Jessie ein aktualisiertes Samba-Paket als Sicherheitsupdate zur Verfügung, welches alle genannten Schwachstellen behebt. Canonical stellt für Ubuntu 16.10, Ubuntu 16.04 LTS und Ubuntu 14.04 LTS Sicherheitsupdates zur Behebung der neuen drei Schwachstellen bereit. Für die Distribution Ubuntu 12.04 LTS ist nur die Schwachstelle CVE-2016-2125 relevant und wird über das verfügbare Sicherheitsupdate behoben. Für Fedora 24 steht ein Sicherheitsupdate auf die Samba Version 4.4.8 und für Fedora 25 auf die Version 4.5.3 zur Verfügung, beide Updates befinden sich noch im Status 'pending'. Patch: Debian Security Advisory DSA-3740-1 https://www.debian.org/security/2016/dsa-3740
Patch:
Fedora Security Update FEDORA-2016-09dc3efcd2 (Fedora 24, samba-4.4.8)
https://bodhi.fedoraproject.org/updates/FEDORA-2016-09dc3efcd2
Patch:
Fedora Security Update FEDORA-2016-364f61377b (Fedora 25, samba-4.5.3)
https://bodhi.fedoraproject.org/updates/FEDORA-2016-364f61377b
Patch:
Samba Security Advisory CVE-2016-2123
https://www.samba.org/samba/security/CVE-2016-2123.html
Patch:
Samba Security Advisory CVE-2016-2125
https://www.samba.org/samba/security/CVE-2016-2125.html
Patch:
Samba Security Advisory CVE-2016-2126
https://www.samba.org/samba/security/CVE-2016-2126.html
Patch:
Ubuntu Security Notice USN-3158-1
http://www.ubuntu.com/usn/usn-3158-1/
Patch:
SUSE Security Update SUSE-SU-2016:3271-1
http://lists.suse.com/pipermail/sle-security-updates/2016-December/002526.html
Patch:
SUSE Security Update SUSE-SU-2016:3272-1
http://lists.suse.com/pipermail/sle-security-updates/2016-December/002527.html
CVE-2016-2126: Schwachstelle in Samba ermöglicht Denial-of-Service-Angriff
In der Kerberos PAC Validierung existiert eine Schwachstelle, durch die eine
Privilegieneskalation möglich ist. Aufgrund der fehlerhaften Behandlung der
PAC Checksum kann es zu einem Überschreiben von Speicher kommen. Ein
entfernter, einfach authentisierter Angreifer kann den ‘winbindd’-Prozess
mittels eines legitimen Kerberos Tickets zum Absturz bringen und somit einen
Denial-of-Service (DoS)-Zustand auslösen.
CVE-2016-2125: Schwachstelle in Samba ermöglicht Erlangen von
Benutzerrechten
Der Client-Code von Samba beantragt immer ein weiterleitbares Ticket, wenn
Kerberos-Authentisierung verwendet wird. Dadurch erhält der Zielserver,
welcher sich in der aktuellen vertrauenswürdigen Domain / Realm befindet,
ein gültiges Allzweck Kerberos “Ticket Granting Ticket” (TGT), welches
verwendet werden kann, um den angemeldeten Benutzer oder Dienst vollständig
zu übernehmen. Ein nicht authentisierter Angreifer im benachbarten Netzwerk
kann diese Schwachstelle ausnutzen, um Benutzerrechte zu erlangen.
CVE-2016-2123: Schwachstelle in Samba ermöglicht Erlangen von
Administratorrechten
In der Routine ‘ndr_pull_dnsp_name’ in Samba existiert eine Schwachstelle
aufgrund fehlerhaften ‘Wrappings’ von Ganzzahlen beim Parsen von Daten aus
der Samba Active Directory (AD) ‘ldb’-Datenbank, wodurch es zu einem
Pufferüberlauf auf dem Heap (Heap-based Buffer Overflow) kommen kann. Jeder
Benutzer, der auf das ‘dnsRecord’-Attribut über LDAP schreiben kann, kann
die Speicherkorruption auslösen. Ein authentisierter Angreifer aus dem
benachbarten Netzwerk kann diese Schwachstelle ausnutzen, um administrative
Rechte zu erlangen und beliebigen Programmcode zur Ausführung zu bringen.
CVE-2016-2119: Schwachstelle in Samba ermöglicht Umgehen von
Sicherheitsvorkehrungen
Ein Schwachstelle existiert in den Samba Versionen 4.0.0 bis 4.4.4 aufgrund
der Möglichkeit, die Anforderung zum Signieren für eine SMB2/3
Client-Verbindung durch Einschleusen des ‘SMB2_SESSION_FLAG_IS_GUEST’ oder
des ‘SMB2_SESSION_FLAG_IS_NULL’ Markers herunterzustufen. Dies betrifft die
Kombination von ‘client ipc signing’ und ‘client ipc max protocol’ in ihren
effektiven Voreinstellungen (‘mandatory’ und ‘SMB3_11’). Die Kombination von
‘client signing’ und ‘client max protocol’ ist ebenfalls betroffen,
allerdings nur wenn ‘client signing’ explizit gesetzt (da die effektive
Voreinstellung ‘if_required’ ist) und ‘client max protocol’ explizit auf
‘SMB2’ oder höher gesetzt ist. Ein nicht authentisierter Angreifer im
benachbarten Netzwerk kann diese Schwachstelle ausnutzen, um
Sicherheitsvorkehrungen zu umgehen, sich als über Samba erreichbarer Server
auszugeben und falsche Informationen darzustellen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-2095/
Samba Security Advisory CVE-2016-2119:
https://www.samba.org/samba/security/CVE-2016-2119.html
Schwachstelle CVE-2016-2119 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2119
Debian Security Advisory DSA-3740-1:
https://www.debian.org/security/2016/dsa-3740
Schwachstelle CVE-2016-2123 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2123
Schwachstelle CVE-2016-2125 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2125
Schwachstelle CVE-2016-2126 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2126
Fedora Security Update FEDORA-2016-09dc3efcd2 (Fedora 24, samba-4.4.8):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-09dc3efcd2
Fedora Security Update FEDORA-2016-364f61377b (Fedora 25, samba-4.5.3):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-364f61377b
Samba Security Advisory CVE-2016-2123:
https://www.samba.org/samba/security/CVE-2016-2123.html
Samba Security Advisory CVE-2016-2125:
https://www.samba.org/samba/security/CVE-2016-2125.html
Samba Security Advisory CVE-2016-2126:
https://www.samba.org/samba/security/CVE-2016-2126.html
Ubuntu Security Notice USN-3158-1:
http://www.ubuntu.com/usn/usn-3158-1/
SUSE Security Update SUSE-SU-2016:3271-1:
http://lists.suse.com/pipermail/sle-security-updates/2016-December/002526.html
SUSE Security Update SUSE-SU-2016:3272-1:
http://lists.suse.com/pipermail/sle-security-updates/2016-December/002527.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
