Debian DSA-4135-1：samba - 安全性更新

high Nessus Plugin ID 108304

語系：

概要

遠端 Debian 主機缺少安全性更新。

說明

在 Samba (適用於 Unix 的 SMB/CIFS 檔案、列印及登入伺服器) 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：- CVE-2018-1050 發現設定 RPC spoolss 服務以外部程序執行時，Samba 容易受到拒絕服務攻擊。https://www.samba.org/samba/security/CVE-2018-1050.html - CVE-2018-1057 Sernet 的 Bjoern Baumbach 發現在 Samba 4 AD DC 上，LDAP 伺服器未正確驗證透過 LDAP 修改密碼的權限，經驗證的使用者因而得以變更任何其他使用者的密碼，包括管理員使用者。https://www.samba.org/samba/security/CVE-2018-1057.html https://wiki.samba.org/index.php/CVE-2018-1057

解決方案

升級 samba 套件。針對舊的穩定發行版本 (jessie)，CVE-2018-1050 問題將在之後的更新中修正。但很不幸地對 Debian 舊的穩定發行版本而言，修正 CVE-2018-1057 所需做的變更侵入性過大而無法反向移植。針對使用 Samba 作為 AD 相容網域控制站的使用者，建議套用 Samba wiki 中所述的因應措施並升級為 Debian stretch。針對穩定的發行版本 (stretch)，這些問題已在 2:4.5.12+dfsg-2+deb9u2 版本中修正。