Was ist der "Badlock Bug"?

10

Ein Benutzer im Ask Ubuntu General Room hat einen Link zu Badlock gepostet . Nach einigem googeln kann ich nur feststellen, dass es sich um einen mysteriösen Sicherheitsfehler handelt, der dieselbe Website-Vorlage wie Heartbleed verwendet.

Ich verwalte Linux-Server, ein mysteriöser Sicherheitsfehler passt nicht gut zu mir. Was genau ist das und wie kann ich meine Server davor schützen?

security vulnerability Klinge19899
quelle
Dies ist ein Fehler in Bezug auf sambaLinux-Server, die Samba verwenden, um mit Windows-Freigaben zu "sprechen". Daher betrifft dieser "Fehler" Linux-Systeme. Wie auf einigen Websites angegeben, lese ich gerade
Blade19899
Lesen Sie genug, um meine eigene Antwort zu veröffentlichen, bis Microsoft / Samba weitere Informationen veröffentlicht
Blade19899
Was ich dazu wissen möchte, ist, ob heute ein Update erscheint oder nicht und warum 15.10 immer noch auf Samba 4.1 läuft. aber ok 15.10 ist in der Nähe der EOL.
Videonauth
@Videonauth hat eine Antwort gepostet und bearbeitet, um relevante Informationen zu veröffentlichen, die ich online finde
Blade19899

Antworten:

12

Was ist BadLock?

Badlock ist ein Fehler, der Windows und Samba betrifft.

Was können Hacker mit diesem Sicherheitsfehler tun?

Zwei Dinge:

  • Man-in-the-Middle-Angriffe (MITM):

  • DoS-Angriffe (Denial-of-Service):

Der Badlock CVE lautet: CVE-2016-2118 . Es gibt zusätzliche CVEs im Zusammenhang mit Badlock. Jene sind:

Welche Versionen von Samba sind betroffen?

  • 3.6.x,
  • 4.0.x,
  • 4.1.x,
  • 4.2.0-4.2.9,
  • 4.3.0-4.3.6,
  • 4.4.0

Fix:

Laden Sie hier die Patches für Ihre Samba-Version herunter:

Wie schlimm ist Badlock?

Der Schweregrad von Badlock gemäß dem Common Vulnerability Scoring System (CVSS):

CVSS: 3.0 / AV: A / AC: H / PR: N / UI: R / S: U / C: H / I: H / A: H / E: P / RL: O / RC: C Basis: 7.1 (Hoch); Zeitlich: 6,4 (mittel)

Anmerkungen:

Mit der Veröffentlichung von Samba 4.4.0 am 22. März wurde der Zweig 4.1 als DISCONTINUED markiert (siehe Samba Release Planning ).

Weiterführende Literatur :

Offizielle Badlock-Website :

Links :

Klinge19899
quelle
Wäre es nicht besser, die lock.c-Datei auf dem offiziellen Samba-Github zu verknüpfen, damit niemand sie falsch interpretiert und Samba aus einer unbekannteren Quelle bezieht.
Videonauth
@Videonauth gib mir den Link und ich werde ihn dort einfügen!
Blade19899
lock.c und die Hauptseite dieses offiziellen Spiegels ist hier
Videonauth
1
Es ist klar, dass das Update auf die neueste Version von Samba nach 17: 00utc
Cybernard
1
Die Korrekturen sind heute Morgen (4/18) in den Repos.
Bio-Marmor
3

Hier finden Sie die Ubuntu-Sicherheitsupdatepakete:

https://bugs.launchpad.net/ubuntu/+source/samba/+bug/1569497

Es hat eine Weile gedauert, bis es veröffentlicht wurde, aber es ist verdammt viel einfacher, als 3.6.3 auf 3.6.25 zu patchen und die offiziellen Patches darüber hinaus anzuwenden.

NB: Ich habe versucht, 3.6.25 aus der Quelle präzise zu erstellen und bin fehlgeschlagen. YMMV.

MSchmitz
quelle