米コンピュータ緊急事態対策チーム（US-CERT: United States Computer Emergency Readiness Team）は1月11日、「Samba Releases Security Update｜CISA」において、ファイル共有ソフトウェアの「Samba」に脆弱性が報告され、対策版となるバージョン4.13.16がリリースされたことを伝えた。この脆弱性を悪用されると、攻撃者によってサーバの共有領域の外に任意のディレクトリを作成される恐れがある。

この脆弱性はCVE-2021-43566として追跡されており、詳細は次のセキュリティアナウンスにまとめられている。

  • CVE-2021-43566のセキュリティアナウンス

    CVE-2021-43566のセキュリティアナウンス

この脆弱性では、ファイルシステムのエクスポートされた部分への書き込み権限を持つクライアントは、SMB1 UNIX拡張機能か、またはNFS経由での共有の下でサーバと競合するシンボリックリンクを作成できる可能性があるという。これによって発生するレースコンディションによってクライアント側が指定されたパスにリンクされた場合、サーバはそのリンク先にディレクトリを作成する。その結果、クライアントは作成されたターゲットディレクトリ以下に任意のディレクトリを作成する権限を持つことができる。

この脆弱性を悪用するには、SMB1の拡張機能が有効になっているか、NFS共有が有効になっている必要がある。概念実証コードでは、攻撃に成功した場合にサーバに高い負荷がかかりパフォーマンスが低下したことを確認したという。

CVE-2021-43566のCVSS v3ベーススコアは2.6で、深刻度は「注意」に分類されている。Samba 4.13.16にアップデートすることで、この脆弱性の影響を回避することができる。米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は、上記のセキュリティ情報を確認した上で必要なアップデートを適用することを推奨している。