Bulletin d'alerte Debian
DSA-4135-1 samba -- Mise à jour de sécurité
- Date du rapport :
- 13 mars 2018
- Paquets concernés :
- samba
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le dictionnaire CVE du Mitre : CVE-2018-1050, CVE-2018-1057.
- Plus de précisions :
-
Plusieurs vulnérabilités ont été découvertes dans Samba, un serveur de fichiers SMB/CIFS, d'impression et d'authentification pour Unix. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.
- CVE-2018-1050
Samba est prédisposé à une attaque par déni de service lorsque le service RPC spoolss est configuré pour être exécuté comme un démon externe.
- CVE-2018-1057
Bjoern Baumbach de Sernet a découvert que, sur le contrôleur de domaine basé sur Active Directory de Samba 4, le serveur LDAP valide incorrectement les droits de modification des mots de passe pour LDAP permettant à des utilisateurs authentifiés de modifier les mots de passe de n'importe quel autre utilisateur, y compris ceux des administrateurs.
Pour la distribution oldstable (Jessie), CVE-2018-1050 sera traité dans une mise à jour ultérieure. Malheureusement, les modifications nécessaires pour corriger CVE-2018-1057 dans Debian oldstable sont trop invasives pour être rétroportées. Les utilisateurs de Samba comme contrôleur de domaine compatible avec Active Directory sont encouragés à appliquer le contournement décrit dans le wiki de Samba et à migrer vers Debian Stretch.
Pour la distribution stable (Stretch), ces problèmes ont été corrigés dans la version 2:4.5.12+dfsg-2+deb9u2.
Nous vous recommandons de mettre à jour vos paquets samba.
Pour disposer d'un état détaillé sur la sécurité de samba, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/samba
- CVE-2018-1050