Abo
  • Services:

Active Directory: Samba-Nutzer können Admin-Passwort ändern

Wird der freie Serverdienst Samba als Domain-Controller für Active Directory genutzt, kann dieser von seinen eigenen Nutzern übernommen werden. Auf diese Lücke weist das Samba-Team hin und stellt Patches bereit. Eine DDOS-Lücke wird ebenfalls behoben.

Artikel veröffentlicht am , Ulrich Bantle/Linux Magazin/
Bei Samba kann man ohne Updates auch andere Passwörter eingeben und nutzen.
Bei Samba kann man ohne Updates auch andere Passwörter eingeben und nutzen. (Bild: Marc Falardeau, flickr.com/CC-BY 2.0)

Mit den aktuellen Samba-Versionen 4.7.6, 4.6.14 und 4.5.16 werden zwei Sicherheitslücken beseitigt, die von den Entwicklern des freien Serverdienstes als besonders kritisch bewertet werden. So ermöglicht es der Serverdienst unter Umständen, dass authentifizierte Nutzer das Passwort anderer Nutzer ändern können. Das Passwort des Administrators zählt hier explizit dazu. Nutzer könnten also relativ leicht die Serverinstanz übernehmen, Angreifer, die an Logindaten der Nutzer kommen, natürlich auch.

Stellenmarkt
  1. Eurowings Aviation GmbH, Köln
  2. mobilcom-debitel GmbH, Büdelsdorf

Diese Lücke hat die CVE-Nummer CVE-2018-1057 bekommen und hängt mit einem Fehler des LDAP-Servers ab Samba 4 zusammen, also mit dem Verzeichnisdienst, über den etwa Anmeldedaten verwaltet werden können. Diese von Samba-Sponsor Sernet gefundene Lücke tritt wohl aber nur dann auf, wenn Samba als Domain Controller für ein Active Directory eingesetzt wird. Letzteres ist eben ab Version 4.0 möglich.

DDOS auf Druckserver

Eine zweite Sicherheitslücke mit der CVE-Nummer CVE-2018-1050, die das Samba-Team ebenfalls behoben hat, ermöglicht eine Denial-of-Service-Attacke auf externe Printserver, heißt es in der Beschreibung. Hiervon seien ebenso alle Samba-Versionen ab 4.0 betroffen. Voraussetzung für die Ausnutzung dieser Lücke sei, dass der RPC-Spoolss-Service als externer Daemon konfiguriert ist.

Die neuen Versionen, die die Lücken schließen, gibt es auf der Webseite des Samba-Projekts zum Download. Linux-Distributionen sollten entsprechende Pakete als Update anbieten. Im Projektwiki stellt das Team außerdem Details und Informationen für Admins samt Workarounds zu CVE-2018-1057 bereit.



Anzeige
Spiele-Angebote
  1. 59,99€ mit Vorbesteller-Preisgarantie (Release 26.02.)
  2. 18,99€
  3. 23,99€
  4. 2,99€

Suchiman 13. Mär 2018

Eine Denial-Of-Service Lücke hat nichts zu tun mit einer Distributed-Denial-Of-Service...


Folgen Sie uns
       


Ladevorgang beim Audi E-Tron

Wie schnell lässt sich der neue Audi E-Tron tatsächlich laden?

Ladevorgang beim Audi E-Tron Video aufrufen
IT: Frauen, die programmieren und Bier trinken
IT
Frauen, die programmieren und Bier trinken

Fest angestellte Informatiker sind oft froh, nach Feierabend nicht schon wieder in ein Get-together zu müssen. Doch was ist, wenn man kein Team hat und sich selbst Programmieren beibringt? Women Who Code veranstaltet Programmierabende für Frauen, denen es so geht. Golem.de war dort.
Von Maja Hoock

  1. Software-Entwickler CDU will Online-Weiterbildung à la Netflix
  2. Job-Porträt Cyber-Detektiv "Ich musste als Ermittler über 1.000 Onanie-Videos schauen"
  3. Bundesagentur für Arbeit Ausbildungsplätze in der Informatik sind knapp

Gaming-Tastaturen im Test: Neue Switches für Gamer und Tipper
Gaming-Tastaturen im Test
Neue Switches für Gamer und Tipper

Corsair und Roccat haben neue Gaming-Tastaturen auf den Markt gebracht, die sich vor allem durch ihre Switches auszeichnen. Im Test zeigt sich, dass Roccats Titan Switch besser zum normalen Tippen geeignet ist, aber nicht an die Geschwindigkeit des Corsair-exklusiven Cherry-Switches herankommt.
Ein Test von Tobias Költzsch

  1. Azio RCK Retrotastatur wechselt zwischen Mac und Windows-Layout
  2. OLKB Planck im Test Winzig, gerade, programmierbar - gut!
  3. Alte gegen neue Model M Wenn die Knickfedern wohlig klackern

Bootcamps: Programmierer in drei Monaten
Bootcamps
Programmierer in drei Monaten

Um Programmierer zu werden, reichen ein paar Monate Intensiv-Training, sagen die Anbieter von IT-Bootcamps. Die Bewerber müssen nur eines sein: extrem motiviert.
Von Juliane Gringer

  1. Nordkorea Kaum Fehler in der Matrix
  2. Security Forscher können Autoren von Programmiercode identifizieren
  3. Stack Overflow Viele Entwickler wohnen in Bayern und sind männlich

    •  /