遠端 Ubuntu 20.04 LTS 主機上安裝的套件受到 USN-5993-1 公告中所提及的多個弱點影響。

  - Active Directory 中基本上有四種不同的屬性類別。- 絕不會公開且無法透過 LDAP 搜尋的秘密屬性 (例如使用者、電腦或網域信任密碼)。這是硬式編碼清單，自 Samba 4.8 開始，還會在 DB 中使用 per-DB 金鑰對這些屬性進行額外加密。- 具有預設存取限制的機密屬性 (在配置中如此標示)，僅允許物件擁有者存取。雖然 Samba AD 網域會提供這些屬性，但幸好預設為不會設定任何這些機密屬性，這些屬性只能由用戶端在設定後新增 (通常是透過 GPO 新增)。Active Directory 中儲存的機密資料範例包括 BitLocker 復原金鑰、TPM 擁有者密碼，以及與 Credential Roaming 一起儲存的憑證私密金鑰。- 受存取控制的屬性 (針對讀取或寫入)，Samba 將接受 ntSecurityDescriptor 中指定的存取控制。- 針對讀取的公開屬性。Active Directory 中的大多數屬性可供所有經驗證的使用者讀取。由於物件之間指定屬性的存取控制規則並不一致，因此 Samba 僅會在比對物件與篩選器後才實作存取控制限制。依次說明上述每個類別：- 防止秘密屬性洩漏的途徑，首先是透過 LDAP 篩選器的編輯，其次是這些屬性在篩選器處理期間 (預設) 仍處於加密狀態。- 機密屬性和受存取控制的屬性容易遭受使用 LDAP 篩選器執行的攻擊。使用此安全性修補程式後，Samba 會針對搜尋篩選器中提及的屬性，在 LDAP 篩選器比對屬性之前執行每個物件的存取控制評估，以防止在未經授權的情況下泄漏 BitLocker 復原金鑰的值 (舉例而言)。預期這不能阻止所有類似攻擊，攻擊者仍可能判斷物件或物件上的屬性是否存在，但無法取得內容。(CVE-2023-0614)

  - Active Directory 允許透過 LDAP 設定和變更密碼。Microsoft 的實作有一個限制，即只能透過加密的連線執行此動作，但是 Samba 目前沒有此限制。Samba 的 samba-tool 用戶端工具對於設定密碼時所使用連線的安全性也沒有限制。如果 samba-tool 針對 Samba AD DC 使用 Kerberos 安全 LDAP 連線，則能夠觀察 samba-tool 和 Samba AD DC 之間網路流量的攻擊者可取得新設定的密碼。當使用 samba-tool 重設使用者的密碼或新增使用者時，就會發生這種情況。無論如何，因為受 NTLM 保護的連線會升級爲加密連線，所以這只會影響使用 Kerberos 建立的連線。此修補程式透過將 Samba 的 smb.conf 中用戶端 ldap sasl 包裝函式的預設值變更為 seal，將所有 Samba AD LDAP 用戶端連線變更為預設使用加密與完整性保護。系統管理員應確認其本機 smb.conf 中未覆寫此值，以便自此變更中受益。請注意：為保持一致，Samba 對於 LDAP 用戶端行為使用常用的 smb.conf 選項。這也會加密 Samba 的 winbindd 和任何 AD DC 之間的 AD LDAP 連線，因此此修補程式也將變更 Samba 網域成員組態的行為。如果擔心這一問題，可將 smb.conf 值的用戶端 ldap sasl 包裝重設為簽署。(CVE-2023-0922)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Ubuntu 20.04 LTS / 22.04 LTS：Samba 弱點 (USN-5993-1)

medium Nessus Plugin ID 173794

版本 1.0