Das Samba-Team hatte bereits vor einigen Wochen angekündigt, das es am 12. April ein Sicherheistupdate für eine kritische Sicherheitslücke geben wird. Gepatchte Releases für Samba 4.4.2, 4.3.8 und 4.2.11 stehen nun bereit. Auch für Windows gibt es Patches.
Die Samba-Entwickler raten dringend dazu, die Updates einzuspielen, weil der damit geschlossene Badlock Bug ansonsten mit hoher Wahrscheinlichkeit von Angreifern ausgenutzt wird. Ebenso wird darauf hingewiesen, dass es für die Samba-Versionen 4.1.x und älter keine Patches mehr gibt. Mit Erscheinen von Samba 4.4 im März sei Samba 4.1 als Discontinued markiert.
Die Sicherheitslücke eröffne die Möglichkeit von Man-in-the-middle-Attacken und Denial-of-Service-Angriffe, so die Entwickler auf der Badlock gewidmeten Webseite. Sie steckt im Security Account Manager Remote Protocol (MS-SAMR) und im Local Security Authority Remote Protocol (MS-LSAD). Beide Protokolle kommen bei Windows und Samba-Serverv zum Einsatz.
Der Badlock Bug ist bei Samba unter CVE-2016-2118 referenziert. Für Windows gilt CVE-2016-0128 / MS16-047.
