RNP > Serviços > Segurança em redes > Alertas do CAIS

Security Advisory DDI-1013

Nova vulnerabilidade no SAMBA

[Digital Defense, 07.04.2003, revisão 01]

O CAIS está repassando o alerta divulgado pela empresa Digital Defense, reportanto uma vulnerabilidade de "buffer overflow" no servidor Samba. Tal vulnerabilidade poderia ser explorada remotamente por um atacante, permitindo acesso privilegiado ao sistema.

O CAIS possui informações sobre a existência de código malicioso que explora essa vulnerabilidade, inclusive através da ação de um possível "worm".

Ressalta-se que esta vulnerabilidade é diferente da reportada pelo CAIS no dia 16/03/2003, acessível através da seguinte URL:

http://www.rnp.br/cais/alertas/2003/cais-alr-16032003.html

O Samba é um servidor open source para diversos tipos de Unix, que provê serviços de acesso a arquivos e impressoras compatível com o "Microsoft File and Printing Services".

Sistemas afetados:

As seguintes versões do software foram confirmadas como vulneráveis:

Versões anteriores a Samba 2.2.8a,
Versões anteriores e incluindo a Samba 2.0.10,
Versões anteriores a Samba-TNG 0.3.2

Ressalta-se que as versoes Samba 3.0 Alpha e versoes CVS do Samba-TNG *não estão vulneráveis*.

Correções disponíveis:

Recomenda-se fortemente fazer a atualização para a versão 2.2.8a, que pode ser obtida através da seguinte URL:

http://www.samba.org/samba/download.html

Ou a partir de qualquer um dos seguintes sites de download listados em:

http://www.samba.org/samba

Ressalta-se que esta atualização corrige apenas a vulnerabilidade descrita neste alerta. Um patch para as versões 2.2.7a, 2.0.10 e anteriores que corrige as vulnerabilidades mais recentes pode ser encontrada no seguinte diretório:

http://us2.samba.org/samba/ftp/patches/security/

As atualizações para o Samba-TNG podem ser encontradas na seguinte URL:

http://www.samba-tng.org/

Maiores informações:

http://www.digitaldefense.net/labs/advisories.html
http://us2.samba.org/samba/samba.html
http://www.ciac.org/ciac/bulletins/n-073.shtml

Regra do Snort

A seguinte regra pode ser usada para identificar tentativas de ataque a essa vulnerabilidade:

alert tcp $ANY any -> $ANY 139 ( sid: 1000009; rev: 1; msg:
"netric/eSDee samba Exploit"; flow: to_server,established; content: "|00
D0 07 0C 00 D0 07 0C 00|"; content: "|90 90 90|"; content: "|D0 07 43 00
0C 00 14 08 01|"; depth: 120; classtype: attempted-admin;)

Identificador do CVE: CAN-2003-0201 (http://cve.mitre.org)

O CAIS recomenda aos administradores que atualizem seus sistemas com urgência.

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais