Samba漏洞NSA免疫工具上線了，目前發(fā)現(xiàn)有10萬多萬臺電腦運行著易受攻擊版本的Samba軟件，這種免費網(wǎng)絡軟件是面向基于Linux和Unix系統(tǒng)運行的電腦而開發(fā)的，請使用該軟件的同學們盡快進行升級操作，避免電腦中招！

Samba漏洞背景：

2015年2月23日，Red Hat產(chǎn)品安全團隊發(fā)布了一個Samba服務端smbd的漏洞公告，該漏洞編號為CVE-2015-0240，幾乎影響所有版本。

該漏洞的觸發(fā)并不需要通過Samba服務器的賬號認證，而smbd服務端通常以root權限運行，如果漏洞能夠被用來實現(xiàn)任意代碼執(zhí)行，則攻擊者可以遠程獲取系統(tǒng)root權限，危害極其嚴重，因此該漏洞的CVSS評分也達到了10。

該漏洞的基本原理是棧上未初始化的指針被傳入TALLOC_FREE()函數(shù)。想要利用這個漏洞，首先需要控制棧上未初始化的數(shù)據(jù)，這和編譯生成的二進制文件中棧的布局有關。

因此少數(shù)國外的安全研究人員針對不同Linux發(fā)行版上的二進制文件做了分析，其中Worawit Wang(@sleepya_)給出了較好的結(jié)果，他證實了在Ubuntu 12.04 x86 (Samba 3.6.3)和Debian 7 x86 (Samba 3.6.6)中，這個漏洞是可以被用來實現(xiàn)遠程代碼任意執(zhí)行的，參考中的注釋。

之后，英格蘭老牌安全公司NCC Group的研究人員給出了漏洞利用的思路 [4]，但是也未給出利用細節(jié)和exploit代碼。

技術分析：

如官方所描述，該漏洞只需要通過一個可寫入的Samba用戶權限就可以提權到samba所在服務器的root權限(samba默認是root用戶執(zhí)行的)。

從Patch來看的話，is_known_pipename函數(shù)的pipename中存在路徑符號會有問題：

再延伸下smb_probe_module函數(shù)中就會形成公告里說的加載攻擊者上傳的dll來任意執(zhí)行代碼了：

具體攻擊過程：

1.構(gòu)造一個有’/’ 符號的管道名或路徑名，如 “/home/toor/cyg07.so”

2.通過smb的協(xié)議主動讓服務器smb返回該FID

3.后續(xù)直接請求這個FID就進入上面所說的惡意流程

具體攻擊結(jié)果如下：

1.嘗試加載　“/home/toor/cyg07.so” 惡意so

2. 其中so 代碼如下(加載時會調(diào)用　samba_init_module 導出函數(shù))

3. 最后我們可以在/tmp/360sec中看到實際的執(zhí)行權限(帶root權限)

解決方案：

360網(wǎng)絡安全響應中心和360信息安全部建議使用受影響版本的用戶立即通過以下方式來進行安全更新操作，

1.使用源碼安裝的Samba用戶，請盡快下載最新的Samba版本手動更新;

2.使用二進制分發(fā)包(RPM等方式)的用戶立即進行yum，apt-get update等安全更新操作;

緩解策略：用戶可以通過在smb.conf的[global]節(jié)點下增加　nt pipe support = no 選項，然后重新啟動samba服務， 以此達到緩解該漏洞的效果。