米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は12月16日(米国時間)、「Samba Releases Security Updates｜CISA」において、Sambaに複数の脆弱性が存在すると伝えた。これら脆弱性を悪用されると、攻撃者によって影響を受けたシステムの制御権が乗っ取られる危険性があるとされている。
脆弱性に関する情報は次のページにまとまっている。
- Samba - Security Announcement Archive - CVE-2022-38023 - RC4/HMAC-MD5 NetLogon Secure Channel is weak and should be avoided
- Samba - Security Announcement Archive - CVE-2022-37966 - rc4-hmac Kerberos session keys issued to modern servers
- Samba - Security Announcement Archive - CVE-2022-37967 - Kerberos constrained delegation ticket forgery possible against Samba AD DC
- Samba - Security Announcement Archive - CVE-2022-45141 - Samba AD DC using Heimdal can be forced to issue rc4-hmac encrypted Kerberos tickets
-
CVE-2022-38023 - RC4/HMAC-MD5 NetLogon Secure Channel is weak and should be avoided
脆弱性が存在するとされるプロダクトおよびバージョンは次のとおり。
- CVE-2022-38023 - すべてのバージョンのSamba
- CVE-2022-37966 - すべてのバージョンのSamba (Kerberosを使う場合)
- CVE-2022-37967 - すべてのバージョンのSamba AD DC
- CVE-2022-45141 - Samba 4.16より前のSamba AD DCのHeimdalビルド
脆弱性が修正されたプロダクトおよびバージョンは次のとおり。
- Samba 4.17.4
- Samba 4.16.8
- Samba 4.15.13
修正対象となっている脆弱性の共通脆弱性評価システム(CVSS: Common Vulnerability Scoring System)スコア値はすべて7を超えており「重要」に分類されている。CISAは、ユーザおよび管理者に対して上記セキュリティ情報をチェックするとともに、必要に応じてアップデートを適用することを推奨している。
