CCN-CERT AV 13/22 Vulnerabilidades críticas en Samba

Cabecera
separador
Vulnerabilidades críticas en Samba

Fecha de publicación: 29/07/2022
Nivel de peligrosidad: CRÍTICO

El CCN-CERT, del Centro Criptológico Nacional, avisa de la publicación de varias vulnerabilidades críticas en SAMBA, implementación de código abierto del protocolo SMB.

Es importante la actualización de las versiones afectadas en el menor tiempo posible. Las publicaciones actuales hacer referencia a sistemas Linux, por eso todas las actuaciones indicadas versan sobre este sistema operativo.

Versiones afectadas:

  • Versiones de Samba anteriores a la 4.16.4
  • Versiones de Samba anteriores a la 4.15.9
  • Versiones de Samba anteriores a la 4.14.14

Vulnerabilidades asociadas:

  • CVE-2022-2031: Los usuarios de Samba AD pueden saltarse ciertas restricciones asociadas al cambio de contraseñas.
  • CVE-2022-32744: Los usuarios de Samba AD pueden falsificar las solicitudes de cambio de contraseña de cualquier usuario.
  • CVE-2022-32745: Los usuarios de Samba AD pueden bloquear el proceso del servidor con un LDAD añadiendo o modificando la solicitud.
  • CVE-2022-32746: Los usuarios de Samba AD pueden inducir una petición de uso cuando este libre en el proceso del servidor con el LDAP, añadiendo o modificando la solicitud.
  • CVE-2022-32742: Fuga de información en la memoria del servidor a través de SMB1.

Solución a las vulnerabilidades:

  • Si utiliza la versión 4.16, actualice a versión 4.16.4
  • Si utiliza la versión 4.15, actualice a versión 4.15.9
  • Si utiliza la versión 4.14, actualice a versión 4.14.14

Si no pueden actualizar, algunos de los errores mencionados anteriormente pueden mitigarse con cambios de configuración, aunque algunos de esos cambios desactivan funciones de las que podría depender la red, lo que te impediría utilizar esas soluciones concretas.

Workaround específico para cada vulnerabilidad:

Atentamente,

Equipo CCN-CERT

 
 
Avisos

Avisos

Información IMPORTANTE sobre vulnerabilidades, con alto nivel de riesgo, que deben ser atendidas con especial prontitud por parte de las organizaciones potencialmente afectadas.

Alertas

Alertas

Información sobre situaciones que requieren atención INMEDIATA por parte de las organizaciones potencialmente afectadas.

Sobre CCN-CERT

Política de privacidad

Aviso de Confidencialidad

El presente mensaje va dirigido de manera exclusiva a su destinatario. Si usted no es el destinatario de este mensaje (o la persona responsable de su entrega), considérese advertido de que lo ha recibido por error, así como de la prohibición legal de realizar cualquier tipo de uso, difusión, reenvío, impresión o copia del mismo. Si ha recibido este mensaje por error, por favor notifíquelo al remitente y proceda a destruirlo inmediatamente.

Síganos en redes sociales:
Twitter Linkedin Youtube Telegram
© 2022 Centro Criptológico Nacional, Argentona 30, 28023 MADRID
Si desea cancelar su suscripción a estos boletines pinche aquí
 
Ministerio de Defensa
CNI
CCN
CCN-CERT