ROSA-SA-18-03-17.001 — различия между версиями
Материал из Rosalab Wiki
(Новая страница: «; === Номер бюллетеня безопасности: === <blockquote> ROSA-SA-18-03-17.001 </blockquote> ; ==== Описание уязвимости:…») |
Consta (обсуждение | вклад) м (Защищена страница «ROSA-SA-18-03-17.001» ([Редактирование=Разрешено только администраторам] (бессрочно) [Переименование=Разрешено только админ…) |
||
| (не показано 9 промежуточных версий 3 участников) | |||
| Строка 1: | Строка 1: | ||
; | ; | ||
| − | === Номер бюллетеня безопасности: === | + | ==== Номер бюллетеня безопасности: ==== |
<blockquote> | <blockquote> | ||
ROSA-SA-18-03-17.001 | ROSA-SA-18-03-17.001 | ||
| Строка 13: | Строка 13: | ||
; | ; | ||
==== Затронутые <abbr title="К какому программному средству относится уязвимость">продукты</abbr>: ==== | ==== Затронутые <abbr title="К какому программному средству относится уязвимость">продукты</abbr>: ==== | ||
| − | *ОС РОСА | + | *ОС РОСА RED |
| + | *ОС РОСА Fresh | ||
| + | |||
| + | ; | ||
| − | |||
==== <abbr title="Всего мы используем 5 степеней градации - от наиболее важной к наименее важной: КРИТИЧЕСКАЯ (требует немедленного реагирования), ВЫСОКАЯ, СРЕДНЯЯ, НИЗКАЯ, НЕЗНАЧИТЕЛЬНАЯ (немедленное обновление не требуется).">Критичность</abbr> уязвимости: ==== | ==== <abbr title="Всего мы используем 5 степеней градации - от наиболее важной к наименее важной: КРИТИЧЕСКАЯ (требует немедленного реагирования), ВЫСОКАЯ, СРЕДНЯЯ, НИЗКАЯ, НЕЗНАЧИТЕЛЬНАЯ (немедленное обновление не требуется).">Критичность</abbr> уязвимости: ==== | ||
| Строка 23: | Строка 25: | ||
==== <abbr title="Всего мы используем 5 вариантов статуса решения проблемы, от благоприятного к неблагоприятному - от УСТРАНЕНА (проблема решена), НЕЙТРАЛИЗОВАНА, ИНФОРМАЦИЯ ПРОВЕРЯЕТСЯ, ВЕДУТСЯ РАБОТЫ ПО УСТРАНЕНИЮ до НЕ УСТРАНЕНА (проблема не решена).">Статус</abbr> уязвимости: ==== | ==== <abbr title="Всего мы используем 5 вариантов статуса решения проблемы, от благоприятного к неблагоприятному - от УСТРАНЕНА (проблема решена), НЕЙТРАЛИЗОВАНА, ИНФОРМАЦИЯ ПРОВЕРЯЕТСЯ, ВЕДУТСЯ РАБОТЫ ПО УСТРАНЕНИЮ до НЕ УСТРАНЕНА (проблема не решена).">Статус</abbr> уязвимости: ==== | ||
| − | * | + | * Уязвимость устранена |
| + | |||
| + | ; | ||
| − | |||
==== Пакеты к обновлению: ==== | ==== Пакеты к обновлению: ==== | ||
| − | * | + | *samba-4.3.13-5 (не ниже) для ОС RED или ROSA Fresh R7/8 (платформа 2014.1) |
| + | *samba-4.6.14-1 (не ниже) для ОС ROSA Fresh R9 и выше (платформа 2016.1) | ||
| + | ; | ||
| − | |||
==== Рекомендации по <abbr title="Здесь приводятся рекомендации по изменению конфигурации ПО, или изменению среды функционирования ПО. Это иногда нужно для того того, чтобы сделать невозможной или максимально затруднить эксплуатацию уязвимости, в случае, если устранить её оперативно не представляется возможным.">нейтрализации</abbr>: ==== | ==== Рекомендации по <abbr title="Здесь приводятся рекомендации по изменению конфигурации ПО, или изменению среды функционирования ПО. Это иногда нужно для того того, чтобы сделать невозможной или максимально затруднить эксплуатацию уязвимости, в случае, если устранить её оперативно не представляется возможным.">нейтрализации</abbr>: ==== | ||
| − | *Для того, чтобы отследить недавние изменения паролей можно воспользоваться следующей командой: | + | *Для того, чтобы отследить недавние изменения паролей можно воспользоваться следующей командой: |
| + | '''ldbsearch -H /usr/local/samba/private/sam.ldb objectclass=user pwdLastSet msDS-KeyVersionNumber''' | ||
*Для защиты можно использовать следующий скрипт: [https://download.samba.org/pub/samba/misc/samba_CVE-2018-1057_helper samba_CVE-2018-1057_helper] | *Для защиты можно использовать следующий скрипт: [https://download.samba.org/pub/samba/misc/samba_CVE-2018-1057_helper samba_CVE-2018-1057_helper] | ||
Данный скрипт позволяет отозвать у всех объектов пользователей, в том числе компьютеров пользователей, право смены паролей в контексте "world" и оставить только право смены собственного пароля. | Данный скрипт позволяет отозвать у всех объектов пользователей, в том числе компьютеров пользователей, право смены паролей в контексте "world" и оставить только право смены собственного пароля. | ||
*Можно временно запретить смену паролей, добавив в файл конфигурации smb.conf строку "check password script = /bin/false", или [https://wiki.samba.org/index.php/CVE-2018-1057#Setting_a_minimum_password_length установив] минимальный размер пароля в максимально возможное значение (2 Гб). | *Можно временно запретить смену паролей, добавив в файл конфигурации smb.conf строку "check password script = /bin/false", или [https://wiki.samba.org/index.php/CVE-2018-1057#Setting_a_minimum_password_length установив] минимальный размер пароля в максимально возможное значение (2 Гб). | ||
| − | ; | + | ; |
| + | |||
==== Наличие информации об уязвимости в общедоступных БД: ==== | ==== Наличие информации об уязвимости в общедоступных БД: ==== | ||
| Строка 42: | Строка 48: | ||
===== БДУ ФСТЭК: ===== | ===== БДУ ФСТЭК: ===== | ||
<blockquote> | <blockquote> | ||
| + | Записи отсутствуют. | ||
</blockquote> | </blockquote> | ||
; | ; | ||
| + | |||
===== CVEs: ===== | ===== CVEs: ===== | ||
<blockquote> | <blockquote> | ||
Текущая версия на 13:56, 5 апреля 2018
Содержание
Номер бюллетеня безопасности:
ROSA-SA-18-03-17.001
Описание уязвимости:
Samba LDAP-сервер с реализацией контроллера домена Active Directory во всех версиях Samba начиная с 4.0.0 неверно проверяет разрешения на изменение паролей через LDAP, позволяя аутентифицированным пользователям изменять пароли других пользователей, включая пароли администраторов и привилегированных учётных записей служб (например, контроллеров домена)
Затронутые продукты:
- ОС РОСА RED
- ОС РОСА Fresh
Критичность уязвимости:
- Высокая
Статус уязвимости:
- Уязвимость устранена
Пакеты к обновлению:
- samba-4.3.13-5 (не ниже) для ОС RED или ROSA Fresh R7/8 (платформа 2014.1)
- samba-4.6.14-1 (не ниже) для ОС ROSA Fresh R9 и выше (платформа 2016.1)
Рекомендации по нейтрализации:
- Для того, чтобы отследить недавние изменения паролей можно воспользоваться следующей командой:
ldbsearch -H /usr/local/samba/private/sam.ldb objectclass=user pwdLastSet msDS-KeyVersionNumber
- Для защиты можно использовать следующий скрипт: samba_CVE-2018-1057_helper
Данный скрипт позволяет отозвать у всех объектов пользователей, в том числе компьютеров пользователей, право смены паролей в контексте "world" и оставить только право смены собственного пароля.
- Можно временно запретить смену паролей, добавив в файл конфигурации smb.conf строку "check password script = /bin/false", или установив минимальный размер пароля в максимально возможное значение (2 Гб).
Наличие информации об уязвимости в общедоступных БД:
БДУ ФСТЭК:
Записи отсутствуют.
