Avis du CERT-FR
Objet : Vulnérabilité dans Samba
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Atteinte à la confidentialité des données
Systèmes affectés
Samba versions 3.3.x, 3.4.x et 3.5.x.
Résumé
Une vulnérabilité dans le serveur Samba donne à un utilisateur distant l'accès en lecture à tous les fichiers du serveurs.
Description
La configuration par défaut du serveur Samba contient la directive : wide links = yes.
Conjuguée aux extensions Unix des clients et à certains droits sur des partages, elle permet à un utilisateur distant d'accéder à tous les fichiers présents sur le serveur.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Ubuntu USN-918-1 du 24 mars 2010
http://www.ubuntulinux.org/usn/usn-918-1 -
Rapport d'erreur du projet Samba :
http://www.samba.org/samba/news/symlink_attack.html -
Référence CVE CVE-2010-0926
https://www.cve.org/CVERecord?id=CVE-2010-0926
Gestion détaillée du document
| Date | Description |
|---|---|
| 25 mars 2010 | version initiale. |