Samba до 4.4.0 DCE/RPC Badlock эскалация привилегий

CVSS Meta Temp ScoreТекущая цена эксплойта (≈)Балл интереса CTI
7.3$0-$5k0.00

СводкаИнформация

Уязвимость, классифицированная как критический, была найдена в Samba до 4.4.0. Неизвестная функция компонента DCE/RPC Handler затронута. Осуществление манипуляции приводит к эскалация привилегий (Badlock). Эта уязвимость известна как CVE-2016-2118. Атаку можно осуществить удаленно. Эксплойт не найден. Рекомендуется провести обновление затронутого компонента.

ПодробностиИнформация

Уязвимость, классифицированная как критический, была найдена в Samba до 4.4.0. Неизвестная функция компонента DCE/RPC Handler затронута. Осуществление манипуляции приводит к эскалация привилегий (Badlock). Определение CWE для уязвимости следующее CWE-254. Информация о слабости была опубликована 12.04.2016 автором Stefan Metzmacher совместно с SerNet как Консультация (Веб-сайт). Консультацию можно прочитать на сайте badlock.org. Публичный релиз был скоординирован в сотрудничестве с поставщиком.

Эта уязвимость известна как CVE-2016-2118. Дата назначения CVE — 29.01.2016. Атаку можно осуществить удаленно. Техническая информация не предоставлена. Сложность атаки довольно высокая. Эксплуатация уязвимости считается затруднительной. Уровень популярности этой уязвимости превышает средний. Эксплойт не найден. В настоящее время текущая цена эксплойта может составлять примерно USD $0-$5k. Проект MITRE ATT&CK определяет технику атаки как T1211. В уведомлении отмечается:

There are several MITM attacks that can be performed against a variety of protocols used by Samba. These would permit execution of arbitrary Samba network calls using the context of the intercepted user.

Объявляется Не определено. Мы ожидаем, что 0-день стоил приблизительно $25k-$100k. Консультация указывает:

To execute a man in the middle attack requires an attacker to manipulate network traffic in the local network segment of the client or server.
В сканере Nessus имеется плагин с ID 90495. Он отнесён к семейству Red Hat Local Security Checks. Плагин выполняется в контексте типа l. Коммерческий сканер уязвимостей Qualys способен проверить эту проблему с помощью плагина 196447 (Ubuntu Security Notification for Samba Vulnerabilities (USN-2950-1) (BADLOCK)).

Обновление до 4.2.10, 4.2.11, 4.3.7, 4.3.8, 4.4.1 и 4.4.2 может устранить эту уязвимость. Возможно устранить проблему, если применить конфигурационную настройку server signing = mandatory; ntlm auth = no. Рекомендуется провести обновление затронутого компонента. Консультация содержит следующее замечание:

Without "server signing = mandatory", man in the Middle attacks are still possible against our file server and classic/NT4-like/Samba3 Domain controller. (It is now enforced on Samba's AD DC.) Note that this has heavy impact on the file server performance, so you need to decide between performance and security. These man in the Middle attacks for smb file servers are well known for decades. Without "ntlm auth = no", there may still be clients not using NTLMv2, and these observed passwords may be brute-forced easily using cloud-computing resources or rainbow tables.

Также можно обнаружить и предотвратить данный тип атаки с использованием TippingPoint и фильтра 24259. Эта уязвимость также документирована в других базах данных уязвимостей: SecurityFocus (BID 86002), Vulnerability Center (SBV-58135) и Tenable (90495).

ПродуктИнформация

Тип

Имя

Версия

Лицензия

Веб-сайт

CPE 2.3Информация

CPE 2.2Информация

Скриншот

CVSSv4Информация

VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 7.5
VulDB Meta Temp Score: 7.3

VulDB Базовый балл: 7.5
VulDB Временная оценка: 7.2
VulDB Вектор: 🔍
VulDB Надёжность: 🔍

NVD Базовый балл: 7.5
NVD Вектор: 🔍

CVSSv2Информация

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
ВекторСложностьАутентификацияКонфиденциальностьЦелостностьДоступность
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надёжность: 🔍

NVD Базовый балл: 🔍

ЭксплуатацияИнформация

Имя: Badlock
Класс: эскалация привилегий / Badlock
CWE: CWE-254
CAPEC: 🔍
ATT&CK: 🔍

Физический: Нет
Локальный: Нет
Удалённый: Да

Доступность: 🔍
Статус: Не определено

EPSS Score: 🔍
EPSS Percentile: 🔍

Прогноз цен: 🔍
Оценка текущей цены: 🔍

0-DayРазблокироватьРазблокироватьРазблокироватьРазблокировать
СегодняРазблокироватьРазблокироватьРазблокироватьРазблокировать

Nessus ID: 90495
Nessus Имя: RHEL 7 : samba (RHSA-2016:0618) (Badlock)
Nessus Файл: 🔍
Nessus Риск: 🔍
Nessus Семейство: 🔍
Nessus Context: 🔍

OpenVAS ID: 802034
OpenVAS Имя: Ubuntu Update for samba USN-2950-5
OpenVAS Файл: 🔍
OpenVAS Семейство: 🔍

Qualys ID: 🔍
Qualys Имя: 🔍

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендация: Обновление
Статус: 🔍

Время реакции: 🔍
Время экспозиции: 🔍

Обновление: Samba 4.2.10/4.2.11/4.3.7/4.3.8/4.4.1/4.4.2
Config: server signing = mandatory; ntlm auth = no
TippingPoint: 🔍

McAfee IPS: 🔍
McAfee IPS Версия: 🔍

Fortigate IPS: 🔍

ХронологияИнформация

29.01.2016 🔍
12.04.2016 +73 дни 🔍
12.04.2016 +0 дни 🔍
12.04.2016 +0 дни 🔍
12.04.2016 +0 дни 🔍
12.04.2016 +0 дни 🔍
12.04.2016 +0 дни 🔍
13.04.2016 +1 дни 🔍
13.04.2016 +0 дни 🔍
27.01.2025 +3211 дни 🔍

ИсточникиИнформация

Продукт: samba.org

Консультация: RHSA-2016:0618
Исследователь: Stefan Metzmacher
Организация: SerNet
Статус: Подтверждённый
Подтверждение: 🔍
Скоординированный: 🔍

CVE: CVE-2016-2118 (🔍)
GCVE (CVE): GCVE-0-2016-2118
GCVE (VulDB): GCVE-100-82210

OVAL: 🔍

CERT: 🔍
SecurityFocus: 86002 - Samba CVE-2016-2118 Man in the Middle Security Bypass Vulnerability
SecurityTracker: 1035533
Vulnerability Center: 58135 - Samba Multiple Versions Remote Man-in-the-Middle Attack due to Mishandle DCERPC Connections, Medium

Разное: 🔍
Смотрите также: 🔍

ВходИнформация

Создано: 12.04.2016 22:42
Обновлено: 27.01.2025 06:41
Изменения: 12.04.2016 22:42 (89), 04.02.2019 13:31 (12), 13.07.2022 18:22 (5), 13.07.2022 18:30 (1), 13.07.2022 18:37 (1), 27.01.2025 06:41 (15)
Завершенный: 🔍
Cache ID: 216::103

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Обсуждение

Комментариев пока нет. Языки: ru + be + en.

Пожалуйста, войдите в систему, чтобы прокомментировать.

◂ ПредыдущийОбзорДалее ▸

Are you interested in using VulDB?

Download the whitepaper to learn more about our service!