CVE-2022-32744: Samba Active Directory users can forge password change requests for any user.
Isso mesmo que você leu. Um bug no SAMBA, conhecida suite de ferramentas usada para permitir que usuários Windows, Linux e MAC acessem compartilhamento de arquivos como se estivessem em um domínio Microsoft, publicou uma lista com 5 bugs, sendo o mais perigoso o CVE-2022-32744. Corre para atualizar o seu!
São 5 bugs?
Exatamente. Foram publicados 5 bugs no Samba recentemente. São eles:
CVE-2022-2031: Usuários do AD Samba podem se desviar de certas restrições associadas com a mudança de senhas.
CVE-2022-32745: Usuários do AD Samba podem quebrar (crash) o processo do servidor com uma requisição de adição ou modificação LDAP.
CVE-2022-32746: Usuários do AD Samba podem induzir um “use-e-se-livre” (use-after-free) no processo do servidor com uma requisição de adição ou modificação do LDAP.
CVE-2022-32742: Vazamento de informação da memória do servidor via SMB1. (nota do autor: se você ainda usa SMB1, se livre disso!).
E o pior de todos, cuja seriedade do problema está na própria descrição: CVE-2022-32744: Usuários Samba Active Directory podem forjar requisições de mudança de senha para qualquer usuário.
E como o ataque funciona?
De uma forma simplificada, existe um serviço para troca de senha chamada kpasswd. O ataque começa com uma série de tentativas incorretas de trocar a senha. Isso se segue até que ocorra sucesso na troca da senha, autorizada pelo próprio atacante.
Em termos do ramo, este tipo de ataque usa uma técnica chamada de Imprima Seu Próprio Passaporte (Print Your Own Passport - PYOP). Essa técnica consiste em provar sua identidade mostrando um “documento”, que, todavia, foi criado por você mesmo, mas que parece legítimo.
Impactos
Não é preciso dizer que, com poderes de Domain Admin, um usuário pode comprometer toda a confidencialidade e integridade dos dados do servidor. Em um ataque interno, um usuário pode querer informações confidenciais que o beneficiem, ou prejudiquem a empresa de alguma forma. Em um ataque externo, pode haver a completa evasão de dados (Data Breach), seguida de criptografia para pedido de sequestro (Ransomware).
Como Resolver o Problema?
Apesar de recente, um patch de correção já foi publicado e está disponível para a maioria das distribuições Linux disponíveis, mas nem todas.
O ideal é homologar esse patch o mais rápido possível e aplicar no seu ambiente de produção, para prevenir a exploração dessa vulnerabilidade por qualquer um que seja, funcionário interno, pentester ou atacante persistente avançado.
Esse é o tipo de vulnerabilidade que não demora nada para um PoC (Proof of Concept – Prova de Conceito) ser publicada. Daí a vulnerabilidade é promovida imediatamente (na verdade já é) para zero day.
Escrito por: Leandro Baida de Oliveira.
Conheça mais sobre nossas soluções de segurança cibernética, consultoria e oferta de segurança como serviço em nossa página da VEGA SAFE.
Descubra o que nosso SNOC e MSP pode fazer para sua empresa, em caso de resposta a incidentes, administração de equipamentos e monitoração em tempo real.
