[EXPLOIT][SAMBA] Prise de contrôle d'un système à distance via une vulnérabilité au sein de Samba

Le CERT-XMCO vous partage une information ayant fait l’actualité durant la semaine écoulée. Nous vous proposons de revenir sur la publication d’un code d’exploitation affectant le logiciel Samba. L’exploitation de cette vulnérabilité permettait à un attaquant de prendre le contrôle du système à distance.

Description :

Deux preuves de concept, exploitant la vulnérabilité présentée dans le bulletin CXA-2017-2049, ont été publiées.

La vulnérabilité référencée CVE-2017-7494 affectait le composant Samba. Son exploitation permettait à un attaquant de prendre le contrôle d’un système à distance.

Les preuves de concept publiées prennent la forme d’un script python ainsi que d’un module pour le framework Metasploit.

Un attaquant possédant un accès en écriture à un partage Samba vulnérable peut alors utiliser ces preuves de concept afin d’exploiter la vulnérabilité et d’exécuter du code arbitraire sur le système. L’exploitation consiste à déposer une bibliothèque partagée au sein d’un partage accessible en écriture, puis à forcer l’exécution de cette bibliothèque.

Note : les preuves de concept exploitent une vulnérabilité corrigée par les équipes Samba (voir bulletin du CERT-XMCO CXA-2017-2049).

Code d’exploitation :

Le code d’exploitation est disponible à l’adresse suivante :

https://leportail.xmco.fr/watch/advisory/CXA-2017-2070

Solution de Contournement :
Ajouter la ligne suivante dans la section [global] du fichier smb.conf, puis redémarrez le démon smbd :

nt pipe support = no

Cette action peut potentiellement impacter le bon fonctionnement du client Windows.

Recommandation :
Le CERT-XMCO recommande l’application des correctifs pour Samba (4.6.4, 4.5.10 ou 4.4.14) disponible via le lien suivant :

https://www.samba.org/samba/history/

Référence(s)
https://lists.samba.org/archive/samba-announce/2017/000406.html