UPDATE: DFN-CERT-2016-1095 Samba: Eine Schwachstelle ermöglicht das Umgehen von Sicherheitsvorkehrungen [Linux][Fedora][SuSE]

DFN-CERT portal at dfn-cert.de
Wed Jul 20 09:20:02 CEST 2016


Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
  Version 2 (20.07.2016):
    Für openSUSE 13.2 steht ein Sicherheitsupdate für Samba bereit.
  Version 1 (11.07.2016):
    Neues Advisory

Betroffene Software:

  Samba >= 4.0.0
  Samba <= 4.4.4
  

Betroffene Plattformen:

  openSUSE 13.2
  Red Hat Fedora 23
  Red Hat Fedora 24
  


Ein nicht authentisierter Angreifer im benachbarten Netzwerk kann eine
Schwachstelle in einem Man-in-the-Middle (MitM)-Angriff ausnutzen, um das
Client-seitige Signieren über SMB2/3 zu deaktivieren, selbst wenn dieses
eigentlich durch Konfigurationsparameter explizit gefordert wird, und somit
einen Sicherheitsmechanismus umgehen, wodurch weitere Angriffe möglich
werden.

Für Samba stehen ein Patch sowie die Samba Releases 4.4.5, 4.3.11 und 4.2.14
als Sicherheitsupdates zur Verfügung.

Für Fedora 23 und 24 stehen Sicherheitsupdates in Form der Pakete
samba-4.3.11-1.fc23 und samba-4.4.5-1.fc24 im Status 'testing' bereit.


Workaround:

  Als Workaround kann das Verbindungsprotokoll über 'client ipc max protocol =
  NT1' eingeschränkt werden. Falls 'client signing' auf 'mandatory' oder
  'required' gesetzt ist, kann der explizit gesetzte Parameter 'client max
  protocol' entfernt werden, wodurch die Verbindung auf 'NT1' zurück fällt.
  Diese Änderungen sollten rückgängig gemacht werden, sobald die
  Sicherheitsupdates eingespielt werden können.


Patch:

  Fedora Security Update FEDORA-2016-0acec022f4 (Fedora 24, Samba 4.4.5)

  <https://bodhi.fedoraproject.org/updates/FEDORA-2016-0acec022f4>

Patch:

  Fedora Security Update FEDORA-2016-48b53757a9 (Fedora 23, Samba 4.3.11)

  <https://bodhi.fedoraproject.org/updates/FEDORA-2016-48b53757a9>

Patch:

  Samba Security Advisory CVE-2016-2119

  <https://www.samba.org/samba/security/CVE-2016-2119.html>

Patch:

  openSUSE Security Update openSUSE-SU-2016:1830-1

  <http://lists.opensuse.org/opensuse-updates/2016-07/msg00060.html>


CVE-2016-2119: Schwachstelle in Samba ermöglicht Umgehen von
  Sicherheitsvorkehrungen

  Ein Schwachstelle existiert in den Samba Versionen 4.0.0 bis 4.4.4 aufgrund
  der Möglichkeit, die Anforderung zum Signieren für eine SMB2/3
  Client-Verbindung durch Einschleusen des 'SMB2_SESSION_FLAG_IS_GUEST' oder
  des 'SMB2_SESSION_FLAG_IS_NULL' Markers herunterzustufen. Dies betrifft die
  Kombination von 'client ipc signing' und 'client ipc max protocol' in ihren
  effektiven Voreinstellungen ('mandatory' und 'SMB3_11'). Die Kombination von
  'client signing' und 'client max protocol' ist ebenfalls betroffen,
  allerdings nur wenn 'client signing' explizit gesetzt (da die effektive
  Voreinstellung 'if_required' ist) und 'client max protocol' explizit auf
  'SMB2' oder höher gesetzt ist.


Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
  <https://portal.cert.dfn.de/adv/DFN-CERT-2016-1095/>

Fedora Security Update FEDORA-2016-0acec022f4 (Fedora 24, Samba 4.4.5):
  <https://bodhi.fedoraproject.org/updates/FEDORA-2016-0acec022f4>

Fedora Security Update FEDORA-2016-48b53757a9 (Fedora 23, Samba 4.3.11):
  <https://bodhi.fedoraproject.org/updates/FEDORA-2016-48b53757a9>

Samba Security Advisory CVE-2016-2119:
  <https://www.samba.org/samba/security/CVE-2016-2119.html>

Schwachstelle CVE-2016-2119 (NVD):
  <http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2119>

openSUSE Security Update openSUSE-SU-2016:1830-1:
  <http://lists.opensuse.org/opensuse-updates/2016-07/msg00060.html>


(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
-------------- next part --------------
A non-text attachment was scrubbed...
Name: smime.p7s
Type: application/pkcs7-signature
Size: 4686 bytes
Desc: not available
URL: <https://lists.cert.uni-stuttgart.de/pipermail/security-announce/attachments/20160720/1848ace3/attachment.bin>


More information about the Security-Announce mailing list