ROSA-SA-18-03-17.001 — различия между версиями
Материал из Rosalab Wiki
(→БДУ ФСТЭК:) |
(→Пакеты к обновлению:) |
||
| Строка 27: | Строка 27: | ||
; | ; | ||
==== Пакеты к обновлению: ==== | ==== Пакеты к обновлению: ==== | ||
| − | * | + | *На данный момент отсутствуют |
| + | |||
| + | ; | ||
| − | |||
==== Рекомендации по <abbr title="Здесь приводятся рекомендации по изменению конфигурации ПО, или изменению среды функционирования ПО. Это иногда нужно для того того, чтобы сделать невозможной или максимально затруднить эксплуатацию уязвимости, в случае, если устранить её оперативно не представляется возможным.">нейтрализации</abbr>: ==== | ==== Рекомендации по <abbr title="Здесь приводятся рекомендации по изменению конфигурации ПО, или изменению среды функционирования ПО. Это иногда нужно для того того, чтобы сделать невозможной или максимально затруднить эксплуатацию уязвимости, в случае, если устранить её оперативно не представляется возможным.">нейтрализации</abbr>: ==== | ||
*Для того, чтобы отследить недавние изменения паролей можно воспользоваться следующей командой: | *Для того, чтобы отследить недавние изменения паролей можно воспользоваться следующей командой: | ||
Версия 11:23, 22 марта 2018
Содержание
Номер бюллетеня безопасности:
ROSA-SA-18-03-17.001
Описание уязвимости:
Samba LDAP-сервер с реализацией контроллера домена Active Directory во всех версиях Samba начиная с 4.0.0 неверно проверяет разрешения на изменение паролей через LDAP, позволяя аутентифицированным пользователям изменять пароли других пользователей, включая пароли администраторов и привилегированных учётных записей служб (например, контроллеров домена)
Затронутые продукты:
- ОС РОСА КОБАЛЬТ
Критичность уязвимости:
- Высокая
Статус уязвимости:
- Ведутся работы по устранению (нейтрализации)
Пакеты к обновлению:
- На данный момент отсутствуют
Рекомендации по нейтрализации:
- Для того, чтобы отследить недавние изменения паролей можно воспользоваться следующей командой:
ldbsearch -H /usr/local/samba/private/sam.ldb objectclass=user pwdLastSet msDS-KeyVersionNumber
- Для защиты можно использовать следующий скрипт: samba_CVE-2018-1057_helper
Данный скрипт позволяет отозвать у всех объектов пользователей, в том числе компьютеров пользователей, право смены паролей в контексте "world" и оставить только право смены собственного пароля.
- Можно временно запретить смену паролей, добавив в файл конфигурации smb.conf строку "check password script = /bin/false", или установив минимальный размер пароля в максимально возможное значение (2 Гб).
Наличие информации об уязвимости в общедоступных БД:
БДУ ФСТЭК:
Записи отсутствуют.
