Vulnerabilidade no Samba permite execução de código como root

O projeto Samba liberou recentemente correções para algumas vulnerabilidades identificadas, onde pelo menos uma delas pode permitir que invasores obtenham permissão de execução remota de código, com privilégios de root, em servidores que rodem o software com versão vulnerável.

Conforme descrição disponível no site do projeto “o Samba é um componente importante para integrar perfeitamente servidores e desktops Linux/Unix aos ambientes do Active Directory. Ele pode funcionar como um controlador de domínio ou como um membro de domínio regular.”

Essa reimplementação do protocolo de rede SMB fornece serviços de compartilhamento e impressão de arquivos em várias plataformas, permitindo que usuários de sistemas GNU/Linux, Windows e macOS compartilhem arquivos em uma rede.

A vulnerabilidade, registrada como crítica recebeu a designação CVE-2021-44142, foi demostrada pela primeira vez em novembro passado, durante a Pwn2Own Austin 2021, nos Estados Unidos, não sendo necessário nenhum tipo de autenticação para a exploração dessa falha.

Administradores de ambientes que executem versões anteriores à 4.13.17 devem aplicar as correções disponibilizadas, para mitigar a vulnerabilidade. A versão mais recente da aplicação foi liberada no dia 31 de janeiro, e corrige outras duas falhas de segurança, sendo elas CVE-2021-44141 e CVE-2022-0336.

Para maiores detalhes sobre a falha crítica encontrada, consulte o site Zero Day Initiative (em inglês), e o anúncio oficial das correções no site do projeto Samba.

Vulnerabilidade existente há 12 anos é corrigida nas distribuições GNU/Linux

Pesquisadores da Qualys, uma empresa americana que provê soluções em segurança da informação e compliance, descobriram uma falha de segurança junto ao PolicyKit que permite a um usuário comum obter privilégios administrativos em sistemas GNU/Linux vulneráveis.

Conforme descrição junto ao comunicado da vulnerabilidade, no próprio site da Qualys, “o polkit é um componente para controlar privilégios de todo o sistema em sistemas operacionais do tipo Unix. Ele fornece uma maneira organizada para que processos não privilegiados se comuniquem com processos privilegiados. Também é possível usar o polkit para executar comandos com privilégios elevados usando o comando pkexec seguido do comando que se pretende executar (com permissão de root).”

A falha recebeu o apelido de PwnKit, sendo registrada como CVE-2021-4034, e tendo a sua divulgação coordenada com a comunidade, permitindo que uma correção fosse produzida antes que empresa de segurança publicasse sua descoberta.

Ainda segundo o comunicado, “os pesquisadores de segurança da Qualys conseguiram verificar a vulnerabilidade de forma independente, desenvolver um exploit e obter privilégios totais de root nas instalações padrão do Ubuntu, Debian, Fedora e CentOS. Outras distribuições Linux são provavelmente vulneráveis ​​e provavelmente exploráveis. Esta vulnerabilidade está escondida à vista de todos por mais de 12 anos e afeta todas as versões do pkexec desde sua primeira versão em maio de 2009 (commit c8c3d83, “Add a pkexec(1) command”).“

Portanto, se você está imaginando de o seu parque instalado pode estar vulnerável, a resposta é que provavelmente sim, ele está, a menos que já tenha aplicado a correção para os pacotes das distribuições nele instaladas.

Correções para as distribuições Debian, Ubuntu, CentOS, entre outras, já estão disponíveis desde o dia 25 de janeiro, sendo recomendável a aplicação delas o mais brevemente possível.

Junto a Slackware Linux não poderia ser diferente, e patchs foram disponibilizados na mesma data para as versões 14.0, 14.1, 14.2 e current, tanto para arquiteturas de 32 bits quanto de 64 bits.

Falha no sudo permite execução de comandos restritos como root

Uma falha de segurança afeta as versões do sudo anteriores à 1.8.28, permitindo que usuários executem comandos como root, mesmo que estes estejam restritos.

A vulnerabilidade recebeu a designação CVE-2019-14287, e foi descoberta por Joe Vennix da Apple Information Security, sendo divulgada pelo projeto Sudo.

O interessante é que um atacante pode explorar a falha de segurança simplesmente especificando um ID “-1” ou “4294967295” para o usuário, permitindo a execução de comandos como superadministrador, sem restrições.

Administradores de sistemas GNU/Linux são recomendados a atualizarem os sistemas sob sua tutela imediatemente para a versão mais recente do sudo, cuja vulnerabilidade já foi corrigida. No momento em que escrevo este post, a dsitribuição Slackware Linux já havia disponibilizado pacotes de correção para as versões -current, 14.0, 14.1 e 14.2.

Algumas distribuições de referência, como Red Hat e derivadas, ainda não haviam divulgado atualizações para corrigir a falha, enquanto outras, como Ubuntu Linux e Debian Linux, haviam disponibilizado correções para algumas das versões sendo mantidas.