Описание
Уязвимость функционала создания учетных записей в домене MachineAccountQuota программ сетевого взаимодействия Samba связана с возможностью создания учетных записей с повышенными правами. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии
Вендор
Сообщество свободного программного обеспечения
Canonical Ltd.
ООО «РусБИТех-Астра»
ООО «Юбитех»
АО «НППКТ»
АО «НТЦ ИТ РОСА»
АО «Концерн ВНИИНС»
Наименование ПО
Debian GNU/Linux
Ubuntu
Astra Linux Special Edition
Astra Linux Special Edition для «Эльбрус»
UBLinux
ОСОН ОСнова Оnyx
ROSA Virtualization
ОС ОН «Стрелец»
Версия ПО
9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
1.6 «Смоленск» (Astra Linux Special Edition)
14.04 ESM (Ubuntu)
10 (Debian GNU/Linux)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
20.04 LTS (Ubuntu)
21.04 (Ubuntu)
16.04 ESM (Ubuntu)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
21.10 (Ubuntu)
до 2109 (UBLinux)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
до 2.5.1 (ОСОН ОСнова Оnyx)
до 2.5 (ОСОН ОСнова Оnyx)
2.1 (ROSA Virtualization)
до 16.01.2023 (ОС ОН «Стрелец»)
Тип ПО
Операционная система
ПО виртуализации/ПО виртуального программно-аппаратного средства
Операционные системы и аппаратные платформы
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Canonical Ltd. Ubuntu 14.04 ESM
Сообщество свободного программного обеспечения Debian GNU/Linux 10
ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»
Canonical Ltd. Ubuntu 20.04 LTS
Canonical Ltd. Ubuntu 21.04
Canonical Ltd. Ubuntu 16.04 ESM
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
Canonical Ltd. Ubuntu 21.10
ООО «Юбитех» UBLinux до 2109
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,3)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для Samba:
https://www.samba.org/samba/security/CVE-2020-25717.html
Для Debian/GNU Linux:
https://security-tracker.debian.org/tracker/CVE-2020-25717
Для Ubuntu:
https://ubuntu.com/security/CVE-2020-25717
Для UBLinux:
https://security.ublinux.ru/CVE-2020-25717
Для ОС Astra Linux:
использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16
Для ОСОН Основа:
Обновление программного обеспечения samba до версии 2:4.13.17+repack-1osnova0
Для ОСОН Основа:
Обновление программного обеспечения samba до версии 2:4.13.14+repack-1osnova0
Для Astra Linux Special Edition 4.7 (для архитектуры ARM):
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47
Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет samba до 2:4.9.5+dfsg-5+deb10u3astra.se3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81
Для ОС ОН «Стрелец»:
Обновление программного обеспечения samba до версии 2:4.13.17+repack-1osnova1strelets
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2024-2450
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2024-2450
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 76%
0.01625
Низкий
7.3 High
CVSS3
8.5 High
CVSS2
Связанные уязвимости
CVSS3: 9.8
altlinux
почти 5 лет назад
ALT-PU-2021-3247: package `samba` update to version 4.14.10-alt1
CVSS3: 9.8
altlinux
почти 5 лет назад
ALT-PU-2021-3339: package `samba` update to version 4.14.10-alt2
CVSS3: 8.1
ubuntu
больше 4 лет назад
A flaw was found in the way Samba maps domain users to local users. An authenticated attacker could use this flaw to cause possible privilege escalation.
CVSS3: 8.1
redhat
около 5 лет назад
A flaw was found in the way Samba maps domain users to local users. An authenticated attacker could use this flaw to cause possible privilege escalation.
CVSS3: 8.1
nvd
больше 4 лет назад
A flaw was found in the way Samba maps domain users to local users. An authenticated attacker could use this flaw to cause possible privilege escalation.
EPSS
Процентиль: 76%
0.01625
Низкий
7.3 High
CVSS3
8.5 High
CVSS2