Критическая удалённая уязвимость в Samba, открывающая root-доступ к серверу

Критическая удалённая уязвимость в Samba, открывающая root-доступ к серверу

Во внеплановых выпусках Samba 4.1.17, 4.0.25 и 3.6.25 устранена критическая уязвимость (CVE-2015-0240), которую можно использовать для инициирования выполнения кода на стороне сервера. Опасность проблемы усугубляется тем, что уязвимость может быть экспулатирована без проведения аутентификации - для осуществления атаки достаточно отправить несколько специально оформленных анонимных netlogon-пакетов на сетевой порт SMB/CIFS-сервера.

Так как демон smbd по умолчанию выполняется с правами root, то в случае успешной атаки злоумышленник может получить root-доступ к серверу.

Проблема затрагивает все версии Samba с 3.5.0 по 4.2.0rc4. Рабочий эксплоит пока не создан, но сотрудники Red Hat положительно оценивают возможность его создания и достаточно подробно описали возможный алгоритм экплуатации. Всем пользователям Samba рекомендуется в экстренном порядке провести обновление до представленных корректирующих выпусков. Для уже не поддерживаемых веток Samba подготовлены патчи. Пользователи Samba 4 могут защититься от атаки обходным путём, отключив netlogon в настройках ("rpc_server:netlogon=disabled" в секции "[global]" smb.conf). Проблему выявили и сообщили разработчикам samba работники группы MSVR (Microsoft Vulnerability Research), пишет opennet.ru.

Пакеты с устранением уязвимости доступны для Red Hat Enterprise Linux, CentOS, Debian, Ubuntu, openSUSE, ALT Linux, FreeBSD. Проследить за выходом обновлений для других популярных дистрибутивов можно на данных страницах: Gentoo, Slackware, Fedora.

Подпишитесь на новости

Подросток месяцами обсуждал суицид с ИИ Google, школьная защита запоздала

Школьный ноутбук, ИИ в поисковике и система мониторинга — внушительный набор технологий, который всё равно не обеспечил своевременную помощь ребёнку. Родители 13-летней девочки из Северной Каролины подали иск против Google и Alphabet. Они утверждают, что общение с ИИ через школьный Chromebook способствовало развитию у дочери суицидального кризиса.

Как рассказывает WIRED, девочка месяцами обсуждала с ИИ депрессию и самоубийство.

Школьная система мониторинга неделями не поднимала тревогу. Когда уведомление наконец появилось, оно попало бывшему школьному консультанту, который переслал его действующим сотрудникам. После этого вмешалась мать.

По данным Reuters, родители узнали о происходящем после того, как защитное ПО пометило документ с планами похорон. В иске также утверждается, что бот помогал девочке скрывать своё состояние от близких.

По мнению родителей, Google встроила ИИ в привычные продукты, не предупредив школы и семьи о рисках.

Google заявила, что изучает иск. Корпорация добра подчёркивает, что работала с медицинскими специалистами и экспертами над защитными функциями, которые должны направлять молодых пользователей к реальной помощи.

RSS: Новости на портале Anti-Malware.ru