https://www.opennet.me/openforum/vsluhforumID3/101558.html Во внеплановых выпусках Samba 4.1.17, 4.0.25 и 3.6.25 (https://www.samba.org/s) устранена (http://permalink.gmane.org/gmane.network.samba.announce/331) критическая уязвимость (https://www.samba.org/samba/security/CVE-2015-0240) (CVE-2015-0240), которую можно использовать для инициирования выполнения кода на стороне сервера. Опасность проблемы усугубляется тем, что уязвимость может быть экспулатирована без проведения аутентификации, для проведения атаки на сетевой порт SMB/CIFS-сервера достаточно отправить специально оформленный анонимный netlogon-пакет. Так как демон smbd обычно выполняется с правами root, то в случае успешной атаки злоумышленник может получить root-доступ к серверу. <br><br><br>Проблема затрагивается все версии Samba с 3.5.0 по 4.2.0rc4.<br><br><br><br><br>URL: http://permalink.gmane.org/gmane.network.samba.announce/331<br>Новость: http://www.opennet.ru/opennews/art.shtml?num=41713<br> https://www.opennet.me/openforum/vsluhforumID3/101558.html#83 Sun, 01 Mar 2015 00:12:37 GMT Про nmbd:<br>1) "nmbd - NetBIOS name server to provide NetBIOS over IP naming services to clients" - поэтому ему нет нужды "на лету делать chown" в отличии от smbd, которому точно нужно<br><br>2) CVE не относится к nmbd, так как он не использует rpc_server<br><br>3) Не уверен, но возможно uid0 используется как упрощение внутреннего IPC при доступе к /run/samba/*.tdb отраженным в память.<br><br><br>По факту (Samba 3.x) про smbd:<br><br>1) При наличии активной сессии smbd делает setuid() на нужного пользователя, когда все сессии закрываются - выполняет setuid(0).<br><br>2) 1 процесс smbd может обслуживать сессии нескольких пользователей - при <br>условии, что их сессии инициированы с одного хоста. При необходимости выполнить действия, которые требуют имперсонации - вызываем setuid().<br><br>3) При беглом просмотре исходников Samba 3.6 явное переключение есть в коде запроса дисковых квот для #if defined(SUNOS5)<br> https://www.opennet.me/openforum/vsluhforumID3/101558.html#81 Wed, 25 Feb 2015 17:12:38 GMT &gt; Чтобы [B]биндинг на привилегированный порт[/B] (445) делать в осях, не имеющих RBAC. <br>&gt;&gt; Если не ошибаюсь, специфика работы с сетью. Хотя [B]для привилегированных операций[/B]<br>&gt; Ошибаешься.<br><br>Если Вы не спешили нахамить, не прочтя -- будьте добры, расскажите, в чём именно.<br> https://www.opennet.me/openforum/vsluhforumID3/101558.html#80 Wed, 25 Feb 2015 16:56:29 GMT &gt;&gt; Скажите мне, убогому, зачем nmbd права root?<br><br>Чтобы биндинг на привилегированный порт (445) делать в осях, не имеющих RBAC. Который появился не бог весть как давно и далеко не во всех осях.<br><br>&gt; Если не ошибаюсь, специфика работы с сетью. Хотя для привилегированных операций <br><br>Ошибаешься.<br><br>&gt; вроде открытия сокета можно было бы держать привилегии (или отдельный процесс), <br>&gt; а для основной работы -- отбрасывать их (или держать в другом <br>&gt; процессе). Впрочем, самбисты явно в курсе про privsep...<br>&gt; PS: лица, не обладающие минимальной квалификацией, к обсуждению всё так же не <br>&gt; допускаются.<br><br>Чо-чо ты там про минимальную квалификацию трындел? Иди, убейся об стену.<br> https://www.opennet.me/openforum/vsluhforumID3/101558.html#79 Wed, 25 Feb 2015 16:52:25 GMT &gt; лол, только написал о возложении болта, как пакеты сразу прилезли <br><br>А вы только atp get-install делать умеете. А межушным ганглием шевелить не надо же... А туда же, окошечников всуе поминать.<br> https://www.opennet.me/openforum/vsluhforumID3/101558.html#76 Wed, 25 Feb 2015 06:55:55 GMT &gt; и тем более зафигачить его под винду<br><br>Эту хохмочку уже проходили с убогим FAT-ом. Хрен ты чего "зафигачишь под винду", пока это не зафигачит Редмонд.<br>Ну, обвинять Линукс в том, что он подстраивается, как может, к тому, что этому подстраиванию активно сопротивляется - традиционный гетзефактс.<br> https://www.opennet.me/openforum/vsluhforumID3/101558.html#75 Wed, 25 Feb 2015 06:52:48 GMT &gt; gvfs?<br><br>...<br>&gt; kio...<br><br>Выбирать между двумя глюкалами - это так здорово :)<br><br> https://www.opennet.me/openforum/vsluhforumID3/101558.html#74 Wed, 25 Feb 2015 06:51:01 GMT &gt; Поставьте Солярис и пользуйте pfexec :))) <br><br>Лучше DOS использовать. Мамонтам которые cannot into capabilities лучше куда-то туда, чтоб не оскверняли атмосферу.<br><br> https://www.opennet.me/openforum/vsluhforumID3/101558.html#73 Wed, 25 Feb 2015 06:47:58 GMT &gt; Если не ошибаюсь, специфика работы с сетью. Хотя для привилегированных операций <br>&gt; вроде открытия сокета можно было бы держать привилегии (или отдельный процесс),<br><br>Capabilities? Не, не слышали! Шел XXI век...<br> https://www.opennet.me/openforum/vsluhforumID3/101558.html#72 Wed, 25 Feb 2015 06:45:55 GMT &gt; А документацию принципиально не читаем? Самый умный да?<br><br>Это так по микрософтовски - документировать глюки и баги вместо починки...<br><br>