Samba 中的 Badlock 安全性弱點 - CVE-2016-2118
Updated -
- Status
- Resolved
- Impact
- Important
背景資訊
鳴謝
受衝擊的產品
這問題已被 Red Hat 產品安全部評為 重要 安全性衝擊。其它相關的弱點，從中等到重大都描述在 2016 年 4 月 12 日發出的 Samba 重大安全性漏洞中 ，這已經公諸於世。其它 Badlock 的資訊可以在 Badlock：SAMR 與 LSA 通訊協定對 Samba 進行的中間人攻擊（CVE-2016-2118） 一文。
以下 Red Hat 產品版本受到了衝擊：
- Red Hat Enterprise Linux 4*
- Red Hat Enterprise Linux 5
- Red Hat Enterprise Linux 6
- Red Hat Enterprise Linux 7
- Red Hat Gluster Storage 3
*要存取 RHEL 4 對於此問題的修正檔，使用者需要有 ELS 的訂閱服務。如果您沒有啟用中的 ELS 訂閱服務，請 聯絡 Red Hat 銷售人員 或指定的業務代表，以得知更多資訊。
何謂 Red Hat Enterprise Linux ELS（Extended Life Cycle Support，延伸生命週期）外掛？
攻擊的描述與衝擊
- 2016 年 4 月 12 日發佈的 Samba 重要安全性漏洞 （CVE-2015-5370、CVE-2016-2110、CVE-2016-2111、CVE-2016-2112、CVE-2016-2113、CVE-2016-2114、CVE-2016-2115、CVE-2016-2116）。
理解暴露的危險
在 AD 環境中使用 Samba 作為網域成員的用戶：
-
偵測方式：在 smb.conf 檔案中尋找 'security = ads'
- 我們建議您將 RHEL 5 遷移至 samba3x (3.6) 、將 RHEL6 遷移至 samba (3.6)、或將 RHEL 7 遷移至 samba (4.2)
- 遷移不是自動的，而需要事先規劃，特別是 IDMAP，因為 3.0 -> 3.6 與 3.6 -> 4.x 有所變更
在 NT 環境中使用 Samba 作為網域成員的用戶：
-
偵測方式：在 smb.conf 檔案中尋找 'security = domain'
- 我們建議您將 RHEL 5 遷移至 samba3x (3.6) 、將 RHEL6 遷移至 samba (3.6)、或將 RHEL 7 遷移至 samba (4.2)
- 遷移不是自動的，而需要事先規劃，特別是 IDMAP，因為 3.0 -> 3.6 與 3.6 -> 4.x 有所變更
使用 Samba 作為檔案伺服器的用戶：
-
偵測方式：在 smb.conf 檔案中尋找 'security = user'、'security = ads'、'security = domain' 或 'security = standalone'，並在其中定義的共享資源
- 我們建議您將 RHEL 5 遷移至 samba3x (3.6) 、將 RHEL6 遷移至 samba (3.6)、或將 RHEL 7 遷移至 samba (4.2)
- 遷移不是自動的，而需要事先規劃，特別是 IDMAP，因為 3.0 -> 3.6 與 3.6 -> 4.x 有所變更
-
-
- 至少該升級 Sambe 伺服器。因為 Badlock 是通訊協定上的漏洞，伺服器端與客戶端都會受到影響，這端視 Samba 架構的配置而定。Red Hat 產品安全部建議用戶升級伺服器與客戶端。
-
- 會，如果管理者使用不安全的用戶端與 Samba 伺服器通訊，或使用了安全的用戶端與不安全的 Samba 伺服器連線，那麼中間人攻擊者就有可能會透過這漏洞入侵。
-
加密能否確保我能免於受到這個 MITM 攻擊？
- 預設上，SMB 通訊協定只會加密身分認證資料與命令，而檔案會以一般文字來傳輸。建議您在需要安全性與隱私性的情境下，使用加密方式來保護所有通訊。加密功能已經加入 Samba 3.2 中，但僅及於 Samba 用戶端。Microsoft 在 Windows 8 與 Windows Server 2012 中加入了 SMB 加密功能。然而，這些加密類型只會在 SMB 協調與命令完成之後保護通訊，例如檔案傳輸。但也正是這階段包含了上述的弱點。Samba/SMB 加密是好的作法，但對於不受此弱點的侵害，是不夠的。
-
- Red Hat 正在為，目前受支援產品中的 Samba 4.2、4.1、4.0、3.6 與 3.0 更新套件（Samba、samba3x、samba4），包括所需的相依性套件，例如 IPA、OpenChange 和 libtalloc、libtdb 與 libevent 函式庫。
受影響產品的更新
| Red Hat Enterprise Linux 4 - 延伸生命週期* | samba (v3.0) | RHSA-2016:0625 | |
| Red Hat Enterprise Linux 5 | samba (v3.0) | RHSA-2016:0621 | |
| Red Hat Enterprise Linux 5 | samba3x (v3.6) | RHSA-2016:0613 | |
| Red Hat Enterprise Linux 5.6 長壽版 | samba (v3.0) | RHSA-2016:0623 | |
| Red Hat Enterprise Linux 5.6 長壽版 | samba3x (v3.6) | RHSA-2016:0624 | |
| Red Hat Enterprise Linux 5.9 長壽版 | samba (v3.0) | RHSA-2016:0623 | |
| Red Hat Enterprise Linux 5.9 長壽版 | samba3x (v3.6) | RHSA-2016:0624 | |
| Red Hat Enterprise Linux 6 | samba (v3.6) | RHSA-2016:0611 | |
| Red Hat Enterprise Linux 6 | samba4 (v4.0) | RHSA-2016:0612 | |
| Red Hat Enterprise Linux 6.2 進階升級支援** | samba (v3.6) | RHSA-2016:0619 | |
| Red Hat Enterprise Linux 6.2 進階升級支援** | samba4 (v4.0) | RHSA-2016:0620 | |
| Red Hat Enterprise Linux 6.4 進階升級支援** | samba (v3.6) | RHSA-2016:0619 | |
| Red Hat Enterprise Linux 6.4 進階升級支援** | samba4 (v4.0) | RHSA-2016:0620 | |
| Red Hat Enterprise Linux 6.5 進階升級支援** | samba (v3.6) | RHSA-2016:0619 | |
| Red Hat Enterprise Linux 6.5 進階升級支援** | samba4 (v4.0) | RHSA-2016:0620 | |
| Red Hat Enterprise Linux 6.6 延伸生命週期 | samba (v3.6) | RHSA-2016:0619 | |
| Red Hat Enterprise Linux 6.6 延伸生命週期 | samba4 (v4.0) | RHSA-2016:0620 | |
| Red Hat Enterprise Linux 7 | samba (v4.2) | RHSA-2016:0612 | |
| Red Hat Enterprise Linux 7.1 進階升級支援 | samba (v4.1) | RHSA-2016:0618 | |
| Red Hat Gluster Storage 3 (EL6) | samba (v4.2) | RHSA-2016:0614 | |
| Red Hat Gluster Storage 3 (EL7) | samba (v4.2) | RHSA-2016:0614 |
*要存取 RHEL 4 對於此問題的修正檔，使用者需要有 ELS 的訂閱服務。如果您沒有啟用中的 ELS 訂閱服務，請 聯絡 Red Hat 銷售人員 或指定的業務代表，以得知更多資訊。
何謂 Red Hat Enterprise Linux ELS（Extended Life Cycle Support，延伸生命週期）外掛？
**要存取 RHEL 6.x 對於此問題的修正檔，使用者需要有 AUS 的訂閱服務。
Subscriber exclusive content
A Red Hat subscription provides unlimited access to our knowledgebase of over 48,000 articles and solutions.
Welcome! Check out the Getting Started with Red Hat page for quick tours and guides for common tasks.