Samba-Lücke: Jeder darf jedes Passwort ändern
Das Entwickler-Team macht auf eine fiese Lücke aufmerksam, die jedes als Active Directory Domain-Controller betriebene Samba 4 betrifft. Angemeldete Nutzer können die Passwörter anderer Nutzer einschließlich des Admins ändern.
(Bild: TBIT)
- Peter Siering
Seit Samba 4.0 kann Samba als Domain-Controller für ein Active Directory dienen, also ein zentrales Benutzerverzeichnis zur Anmeldung an Netzwerkressourcen bereitstellen, wie das auch Windows-Server seit Windows 2000 tun. Nun haben Mitarbeiter der Göttinger Sernet GmbH entdeckt, dass Samba in dieser Betriebsart beim Überprüfen der Rechte für Passwortänderungen schlampt. Die am heutigen Dienstag veröffentlichten Samba-Versionen 4.7.6, 4.6.14 und 4.5.16 enthalten Patches, die dieses Problem beheben. Für ältere Versionen gibt es eine spezielle Übersichtsseite für Patches. Von dem Fehler betroffen sein sollen alle Samba-4-Versionen ab 4.0.0.alpha13.
Das problematische an der Lücke ist, dass sie nicht nur Änderungen von Nutzerpasswörtern erlaubt, sondern auch von Dienst-Konten, wie sie zum Beispiel für Domain-Controller (DCs) im Active Directory verwendet werden. Umfangreiche Hinweise zum Fehler im Samba-Wiki erläutern, wie man eventuelle Manipulationen an Zeitstempeln erkennen kann. Sollte das der Fall sein, muss der Betreiber eines Samba-4-DCs davon ausgehen, dass sämtliche Domain-Secrets bereits ausgelesen worden sind. Das Wiki zeigt auch Techniken auf, um bis zum Einspielen aktueller Versionen Passwortänderungen zu vermeiden. (ps)
