Samba是開(kāi)源共享服務(wù)軟件,被廣泛應(yīng)用在各種Linux和UNIX系統(tǒng)上,類(lèi)似于Windows上的SMB服務(wù)。最近肆虐的“永恒之藍(lán)”專(zhuān)門(mén)攻打Windows的SMB漏洞,此次Samba曝出遠(yuǎn)程代碼執(zhí)行漏洞主要威脅Linux服務(wù)器,一些NAS網(wǎng)絡(luò)存儲(chǔ)產(chǎn)品也受到影響,360提示相關(guān)用戶(hù)盡快進(jìn)行安全更新。
概述
2017年5月24日Samba發(fā)布了4.6.4版本,中間修復(fù)了一個(gè)嚴(yán)重的遠(yuǎn)程代碼執(zhí)行漏洞,漏洞編號(hào)CVE-2017-7494,漏洞影響了Samba 3.5.0 之后和包括4.6.4/4.5.10/4.4.14在內(nèi)的版本。360網(wǎng)絡(luò)安全中心 和 360信息安全部的Gear Team第一時(shí)間對(duì)該漏洞進(jìn)行了分析,確認(rèn)屬于嚴(yán)重漏洞,可以造成遠(yuǎn)程代碼執(zhí)行。
技術(shù)分析
如官方所描述,該漏洞只需要通過(guò)一個(gè)可寫(xiě)入的Samba用戶(hù)權(quán)限就可以提權(quán)到samba所在服務(wù)器的root權(quán)限(samba默認(rèn)是root用戶(hù)執(zhí)行的)。
從Patch來(lái)看的話,is_known_pipename函數(shù)的pipename中存在路徑符號(hào)會(huì)有問(wèn)題:
再延伸下smb_probe_module函數(shù)中就會(huì)形成公告里說(shuō)的加載攻擊者上傳的dll來(lái)任意執(zhí)行代碼了:
具體攻擊過(guò)程:
1. 構(gòu)造一個(gè)有’/’ 符號(hào)的管道名或路徑名,如 “/home/toor/cyg07.so”
2. 通過(guò)smb的協(xié)議主動(dòng)讓服務(wù)器smb返回該FID
3. 后續(xù)直接請(qǐng)求這個(gè)FID就進(jìn)入上面所說(shuō)的惡意流程
具體攻擊結(jié)果如下:
1. 嘗試加載 “/home/toor/cyg07.so” 惡意so
2. 其中so 代碼如下(加載時(shí)會(huì)調(diào)用 samba_init_module 導(dǎo)出函數(shù))
3. 最后我們可以在/tmp/360sec中看到實(shí)際的執(zhí)行權(quán)限(帶root權(quán)限)
解決方案
360網(wǎng)絡(luò)安全響應(yīng)中心和360信息安全部建議使用受影響版本的用戶(hù)立即通過(guò)以下方式來(lái)進(jìn)行安全更新操作,
1. 使用源碼安裝的Samba用戶(hù),請(qǐng)盡快下載最新的Samba版本手動(dòng)更新;
2. 使用二進(jìn)制分發(fā)包(RPM等方式)的用戶(hù)立即進(jìn)行yum,apt-get update等安全更新操作;
緩解策略:用戶(hù)可以通過(guò)在smb.conf的[global]節(jié)點(diǎn)下增加 nt pipe support = no 選項(xiàng),然后重新啟動(dòng)samba服務(wù), 以此達(dá)到緩解該漏洞的效果。
文章內(nèi)容僅供閱讀,不構(gòu)成投資建議,請(qǐng)謹(jǐn)慎對(duì)待。投資者據(jù)此操作,風(fēng)險(xiǎn)自擔(dān)。
2024年的Adobe MAX 2024發(fā)布會(huì)上,Adobe推出了最新版本的Adobe Creative Cloud。
奧維云網(wǎng)(AVC)推總數(shù)據(jù)顯示,2024年1-9月明火炊具線上零售額94.2億元,同比增加3.1%,其中抖音渠道表現(xiàn)優(yōu)異,同比有14%的漲幅,傳統(tǒng)電商略有下滑,同比降低2.3%。
“以前都要去窗口辦,一套流程下來(lái)都要半個(gè)月了,現(xiàn)在方便多了!”打開(kāi)“重慶公積金”微信小程序,按照提示流程提交相關(guān)材料,僅幾秒鐘,重慶市民曾某的賬戶(hù)就打進(jìn)了21600元。
華碩ProArt創(chuàng)藝27 Pro PA279CRV顯示器,憑借其優(yōu)秀的性能配置和精準(zhǔn)的色彩呈現(xiàn)能力,為您的創(chuàng)作工作帶來(lái)實(shí)質(zhì)性的幫助,雙十一期間低至2799元,性?xún)r(jià)比很高,簡(jiǎn)直是創(chuàng)作者們的首選。
9月14日,2024全球工業(yè)互聯(lián)網(wǎng)大會(huì)——工業(yè)互聯(lián)網(wǎng)標(biāo)識(shí)解析專(zhuān)題論壇在沈陽(yáng)成功舉辦。