Was ist der "Badlock Bug"?

Ein Benutzer im Ask Ubuntu General Room hat einen Link zu Badlock gepostet . Nach einigem googeln kann ich nur feststellen, dass es sich um einen mysteriösen Sicherheitsfehler handelt, der dieselbe Website-Vorlage wie Heartbleed verwendet.

Ich verwalte Linux-Server, ein mysteriöser Sicherheitsfehler passt nicht gut zu mir. Was genau ist das und wie kann ich meine Server davor schützen?

security vulnerability

— Klinge19899
quelle

Dies ist ein Fehler in Bezug auf sambaLinux-Server, die Samba verwenden, um mit Windows-Freigaben zu "sprechen". Daher betrifft dieser "Fehler" Linux-Systeme. Wie auf einigen Websites angegeben, lese ich gerade

— Blade19899

Lesen Sie genug, um meine eigene Antwort zu veröffentlichen, bis Microsoft / Samba weitere Informationen veröffentlicht

— Blade19899

Was ich dazu wissen möchte, ist, ob heute ein Update erscheint oder nicht und warum 15.10 immer noch auf Samba 4.1 läuft. aber ok 15.10 ist in der Nähe der EOL.

— Videonauth

@Videonauth hat eine Antwort gepostet und bearbeitet, um relevante Informationen zu veröffentlichen, die ich online finde

— Blade19899

Antworten:

Was ist BadLock?

Badlock ist ein Fehler, der Windows und Samba betrifft.

Was können Hacker mit diesem Sicherheitsfehler tun?

Zwei Dinge:

Man-in-the-Middle-Angriffe (MITM):
DoS-Angriffe (Denial-of-Service):

Der Badlock CVE lautet: CVE-2016-2118 . Es gibt zusätzliche CVEs im Zusammenhang mit Badlock. Jene sind:

CVE-2015-5370 (Mehrere Fehler im DCE-RPC-Code)
CVE-2016-2110 (Man in the Middle-Angriffe mit NTLMSSP möglich)
CVE-2016-2111 (Sicherheitsanfälligkeit in Bezug auf NETLOGON-Spoofing)
CVE-2016-2112 (LDAP-Client und -Server erzwingen keine Integrität)
CVE-2016-2113 (Fehlende TLS-Zertifikatvalidierung)
CVE-2016-2114 (" Serversignatur = obligatorisch" nicht erzwungen)
CVE-2016-2115 (SMB-IPC-Verkehr ist nicht integritätsgeschützt)

Welche Versionen von Samba sind betroffen?

3.6.x,
4.0.x,
4.1.x,
4.2.0-4.2.9,
4.3.0-4.3.6,
4.4.0

Fix:

Laden Sie hier die Patches für Ihre Samba-Version herunter:

https://www.samba.org/samba/history/security.html

Wie schlimm ist Badlock?

Der Schweregrad von Badlock gemäß dem Common Vulnerability Scoring System (CVSS):

CVSS: 3.0 / AV: A / AC: H / PR: N / UI: R / S: U / C: H / I: H / A: H / E: P / RL: O / RC: C Basis: 7.1 (Hoch); Zeitlich: 6,4 (mittel)

Anmerkungen:

Mit der Veröffentlichung von Samba 4.4.0 am 22. März wurde der Zweig 4.1 als DISCONTINUED markiert (siehe Samba Release Planning ).

Weiterführende Literatur :

Offizielle Badlock-Website :

Badlock Bug

Links :

GitHub: Samba-Team / Samba:
- Offizieller GitHub-Spiegel von https://git.samba.org/samba.git

— Klinge19899
quelle

Wäre es nicht besser, die lock.c-Datei auf dem offiziellen Samba-Github zu verknüpfen, damit niemand sie falsch interpretiert und Samba aus einer unbekannteren Quelle bezieht.

— Videonauth

@Videonauth gib mir den Link und ich werde ihn dort einfügen!

— Blade19899

lock.c und die Hauptseite dieses offiziellen Spiegels ist hier

— Videonauth

Es ist klar, dass das Update auf die neueste Version von Samba nach 17: 00utc

— Cybernard

Die Korrekturen sind heute Morgen (4/18) in den Repos.

— Bio-Marmor

Hier finden Sie die Ubuntu-Sicherheitsupdatepakete:

https://bugs.launchpad.net/ubuntu/+source/samba/+bug/1569497

Es hat eine Weile gedauert, bis es veröffentlicht wurde, aber es ist verdammt viel einfacher, als 3.6.3 auf 3.6.25 zu patchen und die offiziellen Patches darüber hinaus anzuwenden.

NB: Ich habe versucht, 3.6.25 aus der Quelle präzise zu erstellen und bin fehlgeschlagen. YMMV.

— MSchmitz
quelle