Un nuovo bug su Samba, consente di l’esecuzione di codice remoto con privilegi di root.

Samba ha affrontato una vulnerabilità di gravità critica che può consentire agli aggressori di ottenere l’esecuzione di codice in modalità remota con privilegi di root su server che eseguono software vulnerabile.

Non è la prima RCE che viene scoperta su questo servizio, ricordiamoci che in passato diversi altri exploit hanno consentito l’utilizzo di tale protocollo per accedere con privilegi amministrativi ai server remoti, come il famoso exploit EternalBlue (SMBv1), trafugato dai server della National Security Agency (NSA) americana dagli hacker di The Shadow Broker.

Samba è una reimplementazione del protocollo di rete SMB che fornisce servizi di condivisione e stampa di file su molte piattaforme, consentendo agli utenti Linux, Windows e macOS di condividere file su una rete.

La vulnerabilità, monitorata con la CVE-2021-44142, è stata segnalata da Orange Tsai di DEVCORE, è una lettura/scrittura di heap fuori limite, che risulta essere presente nel modulo VFS vfs_fruit durante l’analisi dei metadati EA durante l’apertura di file in smbd.

“Il problema in vfs_fruit esiste nella configurazione predefinita del modulo VFS fruit che utilizza fruit:metadata=netatalk o fruit:resource=file”

ha spiegato Samba in un avviso di sicurezza pubblicato oggi.

“Se entrambe le opzioni sono impostate su impostazioni diverse rispetto ai valori predefiniti, il sistema non è interessato dal problema di sicurezza.”

Il modulo vulnerabile vfs_fruit è progettato per fornire una maggiore compatibilità con i client Apple SMB e i file server Netatalk 3 AFP.

Secondo il CERT Coordination Center (CERT/CC), l’elenco delle piattaforme interessate da questa vulnerabilità include Red Hat, SUSE Linux e Ubuntu.

Infatti nella descrizione viene riportato quanto segue:

Tutte le versioni di Samba precedenti alla 4.13.17 sono vulnerabili a una vulnerabilità di lettura e scrittura dell’heap fuori limite che consente di acquisire un accesso remoto per eseguire codice arbitrario come root su Samba interessando le installazioni che utilizzano il modulo VFS vfs_fruit.Il difetto specifico esiste all’interno dell’analisi dei metadati EA quando vengono aperti i file smbd. Se entrambe le opzioni hanno impostazioni diverse rispetto ai valori predefiniti, il sistema non è interessato dal problema di sicurezza.

Gli aggressori possono sfruttare il difetto negli attacchi a bassa complessità senza richiedere l’interazione dell’utente se i server presi di mira eseguono installazioni di Samba precedenti alla versione 4.13.17, ovvero la versione che risolve questo bug.

Si consiglia agli amministratori di installare le versioni 4.13.17, 4.14.12 e 4.15.5 pubblicate oggi o di applicare le patch corrispondenti per correggere il difetto di sicurezza il prima possibile.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks