Błąd związany z tworzeniem dowiązań symbolicznych w wolnym serwerze plików i wydruku Samba może zostać wykorzystany do odczytu zbiorów znajdujących się również poza zdefiniowanymi ścieżkami.

Problem

Luka typu Directory Traversal pozwala potencjalnemu napastnikowi uzyskać dostęp do katalogu głównego (/) systemu. Jednak aby się nią posłużyć, intruz musi dysponować kontem na serwerze Samba, z którego wolno mu zapisywać zbiory w przestrzeni określonej przynajmniej przez jeden udział (share). Jeśli natomiast udział jest zdefiniowany jako zapisywalny (writeable) dla gości, wówczas lukę daje się wykorzystać nawet bez ważnego konta – za pośrednictwem sieci. W ustawieniach fabrycznych żadne udziały nie są ustawione jako zapisywalne dla gości.

Ponieważ Samba działa z uprawnieniami administratora, błąd umożliwia odczytywanie i modyfikację dowolnych plików. Do utworzenia fałszywego dowiązania niezbędny jest zmodyfikowany klient SMB – w tym wypadku znalazca usterki Nikolaos Rangos (Kingcope) przygotował już odpowiednią łatę – albo opublikowany w weekend moduł dla exploitowego frameworka Metasploit.

Zgodnie z komunikatem zespołu Samby usterka jest spowodowana tym, że serwer za pośrednictwem tak zwanych Unix Extensions w ramach protokołu SMB/CIFS zezwala na tworzenie dowiązań symbolicznych i niedokładnie sprawdza wykonywane wtedy operacje. 

Błąd znaleziono w aktualnej, oznaczonej numerem 3.4.5 wersji Samby, ale występuje on również we wcześniejszych wydaniach.

Rozwiązanie

Twórcy serwera potwierdzili obecność usterki, jednak nie zdążyli jeszcze przygotować aktualizacji ani łaty.

Obejście

Jako tymczasowe obejście problemu zaleca się przełączenie w sekcji konfiguracyjnej [global] opcji wide links z yes na no i ponowne uruchomienie usługi. W przyszłych wersjach Samby planuje się ustawić domyślnie opcję wide links = no.

Zobacz także

• Samba Remote Zero-Day Exploit, komunikat Kingcope'a
• Exploiting the Samba Symlink Traversal, opis usterki w witrynie Metasploit.org
• Claimed Zero Day exploit in Samba, komunikat w serwisie Samba.org

(pwi)