Samba のセキュリティー脆弱性「Badlock」- CVE-2016-2118
Updated -
- Status
- Resolved
- Impact
- Important
背景情報
謝辞
影響を受ける製品
この問題については、Red Hat Product セキュリティーチームによってセキュリティーの影響度が「重要な影響」 と評価されています。2016 年 4 月 12 日に発表された Samba における重大なセキュリティー脆弱性で説明されている影響度が「中程度の影響」から「重大な影響」と評価されている他の関連する脆弱性についても一般に公開されています。Badlock についての詳細情報は以下を参照してください。Badlock: Samba に対する SAMR および LSA プロトコルの中間者攻撃 (CVE-2016-2118)
以下の Red Hat 製品のバージョンが影響を受けます。
- Red Hat Enterprise Linux 4*
- Red Hat Enterprise Linux 5
- Red Hat Enterprise Linux 6
- Red Hat Enterprise Linux 7
- Red Hat Gluster Storage 3
*RHEL 4 のこのパッチを入手するには、アクティブな ELS サブスクリプションが必要です。ご使用のアカウントにアクティブな ELS サブスクリプションがない場合は、詳細について Red Hat 営業部門または営業担当者までお問い合わせください。
Red Hat Enterprise Linux 延長ライフサイクルサポートアドオン (ELS) とは
攻撃の詳細と影響
- Samba における重要なセキュリティー脆弱性 (2016 年4 月12 日発表) (CVE-2015-5370、CVE-2016-2110、CVE-2016-2111、CVE-2016-2112、CVE-2016-2113、CVE-2016-2114、CVE-2016-2115、CVE-2016-2118)
脆弱性にさらされる危険について
AD 環境のドメインメンバーとして Samba を使用するお客様の場合:
-
検出方法: 'security = ads' (smb.conf ファイル内)
- RHEL5 の samba3x (3.6) への移行、RHEL6/samba (3.6) への移行、または RHEL7/samba (4.2) への移行を推奨します。
- 移行は自動的に行われません。3.0 -> 3.6 および 3.6 -> 4.x で変更があったため、とりわけ IDMAP に関連して移行計画が必要です。
NT 環境のドメインメンバーとして Samba を使用するお客様の場合:
-
検出方法: 'security = domain' (smb.conf ファイル内)
- RHEL5 の samba3x (3.6) への移行、RHEL6/samba (3.6) への移行、または RHEL7/samba (4.2) への移行を推奨します。
- 移行は自動的に行われません。3.0 -> 3.6 および 3.6 -> 4.x で変更があったため、とりわけ IDMAP に関連して移行計画が必要です。
Samba をファイルサーバーとして使用するお客様の場合:
-
検出方法: 'security = user' または 'security = ads' または 'security = domain'、または 'security = standalone' および共有 (smb.conf ファイルで定義)
- RHEL5 の samba3x (3.6) への移行、RHEL6/samba (3.6) への移行、または RHEL7/samba (4.2) への移行を推奨します。
- 移行は自動的に行われません。3.0 -> 3.6 および 3.6 -> 4.x で変更があったため、とりわけ IDMAP に関連して移行計画が必要です。
-
-
- 少なくとも Samba サーバーを更新する必要があります。Badlock はプロトコルの脆弱性であるため、Samba インフラストラクチャーの設定によってサーバーとクライアントの両方が影響を受ける可能性があります。Red Hat Product セキュリティーチームはサーバーとクライアントの両方を更新することを推奨します。
-
-
このセキュリティーアドバイザリーでは Samba を設定するために使用されるセキュリティーオプションの一部を制限してます。これにより、Samba サーバーは更新されるがクライアントは更新されない場合に設定が破損する可能性があります。相互運用性を継続的に確保するために古く安全でないオプションにロールバックすることはできますが (たとえば smb.conf ファイルに
allow dcerpc auth level connect = yesを設定する)、Red Hat Product セキュリティーチームは、これにより一部の攻撃ベクトルが再度導入されることになるため、これを実行しないことを強く推奨します。
-
このセキュリティーアドバイザリーでは Samba を設定するために使用されるセキュリティーオプションの一部を制限してます。これにより、Samba サーバーは更新されるがクライアントは更新されない場合に設定が破損する可能性があります。相互運用性を継続的に確保するために古く安全でないオプションにロールバックすることはできますが (たとえば smb.conf ファイルに
-
- はい。管理者ユーザーが安全ではないクライアントを使用して Samba サーバーと通信するか、または安全なクライアントを使用して安全ではない Samba サーバーと通信する場合、中間者攻撃でこの脆弱性が悪用される可能性があります。
-
暗号化はこの中間者攻撃 (MITM) の保護策となりますか?
- SMB プロトコルは、デフォルトでファイルをプレーンテキストで転送する一方で、認証情報とコマンドを暗号化します。セキュリティーおよびプライバシーの保護が重要となる状況では、すべての通信を保護するために暗号を使用することを推奨します。暗号化はバージョン 3.2 の Samba に追加されていますが、Samba クライアントの場合に限られます。Microsoft は SMB 暗号化サポートを Windows 8 および Windows Server 2012 の SMB 3.0 に追加しました。ただし、これらの暗号化は、ファイル転送などの通信のみを保護し、SMB ネゴシエーションやコマンドの実行後に機能します。上記の脆弱性はこのフェーズで含まれるため、Samba/SMB 暗号化は良い取り組みですが、この脆弱性に対する保護策としては不十分です。
-
- Red Hat は、現在サポートされているすべての製品に対して Samba バージョン 4.2、4.1、4.0、3.6、& 3.0 のパッケージ (samba、samba3x、samba4) を更新しています (必要に応じて IPA、OpenChange、および libtalloc、libtdb および libevent ライブラリーなどの依存関係も含む)。
影響を受ける製品の更新
| Red Hat Enterprise Linux 4 - Extended Lifecycle Support* | samba (v3.0) | RHSA-2016:0625 | |
| Red Hat Enterprise Linux 5 | samba (v3.0) | RHSA-2016:0621 | |
| Red Hat Enterprise Linux 5 | samba3x (v3.6) | RHSA-2016:0613 | |
| Red Hat Enterprise Linux 5.6 Long Life | samba (v3.0) | RHSA-2016:0623 | |
| Red Hat Enterprise Linux 5.6 Long Life | samba3x (v3.6) | RHSA-2016:0624 | |
| Red Hat Enterprise Linux 5.9 Long Life | samba (v3.0) | RHSA-2016:0623 | |
| Red Hat Enterprise Linux 5.9 Long Life | samba3x (v3.6) | RHSA-2016:0624 | |
| Red Hat Enterprise Linux 6 | samba (v3.6) | RHSA-2016:0611 | |
| Red Hat Enterprise Linux 6 | samba4 (v4.0) | RHSA-2016:0612 | |
| Red Hat Enterprise Linux 6.2 Advanced Update Support** | samba (v3.6) | RHSA-2016:0619 | |
| Red Hat Enterprise Linux 6.2 Advanced Update Support** | samba4 (v4.0) | RHSA-2016:0620 | |
| Red Hat Enterprise Linux 6.4 Advanced Update Support** | samba (v3.6) | RHSA-2016:0619 | |
| Red Hat Enterprise Linux 6.4 Advanced Update Support** | samba4 (v4.0) | RHSA-2016:0620 | |
| Red Hat Enterprise Linux 6.5 Advanced Update Support** | samba (v3.6) | RHSA-2016:0619 | |
| Red Hat Enterprise Linux 6.5 Advanced Update Support** | samba4 (v4.0) | RHSA-2016:0620 | |
| Red Hat Enterprise Linux 6.6 Extended Update Support | samba (v3.6) | RHSA-2016:0619 | |
| Red Hat Enterprise Linux 6.6 Extended Update Support | samba4 (v4.0) | RHSA-2016:0620 | |
| Red Hat Enterprise Linux 7 | samba (v4.2) | RHSA-2016:0612 | |
| Red Hat Enterprise Linux 7.1 Extended Update Support | samba (v4.1) | RHSA-2016:0618 | |
| Red Hat Gluster Storage 3 (EL6) | samba (v4.2) | RHSA-2016:0614 | |
| Red Hat Gluster Storage 3 (EL7) | samba (v4.2) | RHSA-2016:0614 |
*RHEL 4 のこのパッチを入手するには、アクティブな ELS サブスクリプションが必要です。ご使用のアカウントにアクティブな ELS サブスクリプションがない場合は、詳細について Red Hat 営業部門または営業担当者までお問い合わせください。
Red Hat Enterprise Linux 延長ライフサイクルサポートアドオン (ELS) とは
**RHEL 6.X AUS のパッチを入手するには、アクティブな AUS サブスクリプションが必要です。
Subscriber exclusive content
A Red Hat subscription provides unlimited access to our knowledgebase of over 48,000 articles and solutions.
Welcome! Check out the Getting Started with Red Hat page for quick tours and guides for common tasks.