Vulnerabilidade perigosa, explorável remotamente, foi identificada no Samba

O Samba, ferramenta amplamente utilizada para compartilhamento de arquivos, tem uma presença consolidada, especialmente em ambientes com sistemas mistos, nos quais os recursos compartilhados precisam ser acessados a partir de diferentes sistemas operacionais. Assim como o NFS, ele possui uma reputação bem merecida em termos de compatibilidade, disponibilidade e, acima de tudo, segurança.

Serviços de grande visibilidade, como o Samba, são alvos atraentes para invasores, e as vulnerabilidades encontradas nesses serviços podem, muitas vezes, ter consequências de longo alcance que, por vezes, passam despercebidas em meio ao barulho em torno dos anúncios de CVE. A CVE-2021-44142, uma das vulnerabilidades recentemente divulgadas que afetam o Samba, conseguiu se destacar das demais. Trata-se de um vetor explorável remotamente que poderia desencadear a execução remota de código. Alguém mais se lembra do Log4j?

Todas as versões do Samba anteriores à 4.13.17 estão afetadas. A equipe de Suporte de Ciclo de Vida Estendido da TuxCare lançou patches para o CentOS 8.4, 8.5 e o Ubuntu 16.04, todas as versões afetadas.

De acordo com a descrição da vulnerabilidade feita pelo próprio projeto Samba, disponível aqui, é possível que um invasor remoto provoque uma leitura/gravação fora dos limites da pilha (heap), o que, por sua vez, levará à execução de código arbitrário com privilégios de root. A falha está no módulo VFS chamado vfs_fruit.

O Samba implementa comportamentos adicionais por meio de um sistema de plug-ins, ou módulos, para habilitar funcionalidades estendidas para protocolos compatíveis ou para adicionar novas funcionalidades. O vfs_fruit é um desses módulos que adiciona suporte a metadados de atributos estendidos para clientes SMB da Apple. Quando um usuário possui permissão de gravação nos atributos estendidos de um arquivo, esses atributos podem ser manipulados de forma a acionar a vulnerabilidade.

Se o seu ambiente não tiver clientes SMB da Apple ou se você não precisar da funcionalidade fornecida pelo módulo vfs_fruit, é possível removê-lo da configuração editando o arquivo smb.conf e removendo qualquer entrada“fruit”na linha de configuração para“vfs objects”. Isso tem o efeito colateral óbvio de desativar efetivamente o suporte a esses atributos estendidos, o que, por sua vez, faz com que os clientes macOS exibam essas informações como vazias. Se esse for um resultado aceitável, essa solução alternativa evitará o problema do módulo VFS.

No entanto, se você depende dessa funcionalidade, deve aplicar as correções em seus sistemas que rodam o Samba o mais rápido possível. Por apresentar um vetor de ataque explorável remotamente, essa vulnerabilidade recebeu uma das pontuações de segurança mais altas registradas nos últimos meses. A Red Hat, por exemplo, atribuiu a ela uma pontuação de 9,9 em 10 (CVSS v3).

Embora alguns administradores de sistemas possam passar anos sem nunca usar esse módulo, ele vem incluído e habilitado por padrão em dispositivos e equipamentos projetados para funcionar em ambientes com sistemas mistos, como NAS e sistemas de armazenamento. Se você não tiver patches disponíveis para esses dispositivos — já que eles podem exigir atualizações específicas de firmware —, deve, pelo menos, considerar aplicar a solução alternativa descrita acima, caso seja possível modificar o arquivo smb.conf diretamente.

Como sempre, a equipe de Suporte de Ciclo de Vida Estendido da TuxCare está disponibilizando aos usuários do serviço patches para os sistemas Enterprise Linux afetados. Especificamente, já há patches disponíveis para o CentOS 8.4, 8.5 e o Ubuntu 16.04.

Se você quiser saber mais sobre o Serviço de Ciclo de Vida Estendido da TuxCare e como ele pode ajudá-lo a manter seus sistemas sem suporte funcionando de maneira tranquila e segura, ao mesmo tempo em que cumpre os requisitos de conformidade, você pode encontrar mais informações aqui.