Entwickler schließen gefährliche Sicherheitslücke in Server-Software Samba
Sicherheitsforscher haben vor einer als kritisch eingestuften Sicherheitslücke in der Server-Software Samba gewarnt. Sie ermöglicht es Angreifern unter Umständen, Schadcode einzuschleusen und mit Root-Rechten auszuführen. Wie PCWorld berichtet, steckt die von Richard van Eeden, der beim Team von Microsoft Vulnerability Research beschätigt ist, entdeckte Schwachstelle im SMBD-File-Server.
“Sie kann von einem bösartigen Samba-Client ausgenutzt werden, indem speziell gestaltete Pakete an den Samba-Server geschickt werden”, erklärt Red Hat in einem Blogeintrag. “Es ist keine Authentifizierung erforderlich, um den Fehler auszunutzen. Es kann zu einer aus der Ferne gesteuerten Ausführung von beliebigem Code als Root führen.”
Betroffen sind dem Bericht zufolge alle Samba-Versionen von 3.5.0 bis 4.2.0rc4. Das Samba-Projekt habe den Fehler in den Versionen 4.2.0rc5, 4.1.17, 4.0.25 und 3.6.25 beseitigt. Zudem seien Code-Patches verfügbar.
Darüber hinaus wurden bereits aktualisierte Samba-Pakete für mehrere Linux-Distribution veröffentlicht, die die Software nutzen, um über das SMB/CIFS-Protokoll auf Datei- und Druckfreigaben von Windows zuzugreifen. Dazu gehören Red Hat Enterprise Linux, Ubuntu, Debian, Fedora und Suse.
Für Samba 4.0 gibt es laut PCWorld auch einen Workaround. Dafür muss der Bereich “Global” der SMB-Konfigurationsdatei nur um die Zeile “rpc_server:netlogon=disabled” erweitert werden.
Normalerweise sei der Samba-Dienst so konfiguriert, dass er nicht über das Internet erreichbar sei, führt Carsten Eiram, Chief Research Officer bei Risk Based Security, gegenüber PCWorld aus. Ein Angreifer, der die Schwachstelle ausnutzen wolle, müsse sich dann im selben Netzwerk befinden wie der Server. “Solche Schwachstellen in wichtigen und weit verbreiteten Produkten wie Samba sieht man sicherlich nicht jeden Tag. Ich rate jedem, der Samba nutzt, die Patches sofort einzuspielen.”
Samba ist nicht nur in Linux, sondern auch in BSD, Solaris und Mac OS X integriert. Aber auch Anbieter von Network-Attached-Storage-Geräten (NAS) nutzen die Open-Source-Software für ihre Produkte.
[mit Material von ZDNet.de]