Portada
mis comunidades
otras secciones
#2:
Pues que los pavos del equipo ése se apliquen el cuento...
https://www.youtube.com/watch?v=GA0u05Y1p2U
https://www.youtube.com/watch?v=GA0u05Y1p2U
#7:
Vaya... yo tengo mis pelis en una red doméstica basada en Samba.
Ahora resulta que la abuela va a poder acceder a mi porno desde su iPad.
Ahora resulta que la abuela va a poder acceder a mi porno desde su iPad.
Comentarios
Pues que los pavos del equipo ése se apliquen el cuento...
#2 justo iba a poner eso
Menos Samba e mais traballar, hombre ya
Pues eso #2
#2: Yo iba a poner esta otra:
Bellini - Samba De Janeiro (Club Mix) #mundoviejunoVaya... yo tengo mis pelis en una red doméstica basada en Samba.
Ahora resulta que la abuela va a poder acceder a mi porno desde su iPad.
#7 Yo tengo un servidor Samba en un cliente con 200 usuarios.
Para mi si es un problema.
#11 #7 solo si creáis enlaces simbólicos.
"El problema viene cuando un cliente con permisos de escritura crea un enlace simbólico a una ruta no compartida pudiendo acceder a cualquier archivo que desee, este compartido o no."
#14 Mis usuarios no saben ni apagar el ordenador....Yo creo que estoy protegido
#14 Clientes con permiso de escritura?? Uff no, quita quita...
Si alguien necesita que los clientes tengan permisos de escritura o ejecución, que tire de SSH. Samba está para compartir de forma sencilla, contenidos en directorios públicos con permisos de lectura (el que quiera ejecutar algo que se lo baje a su disco duro local).
#51 Si dejas acceder con ssh y ejecutar comandos recuerda que en Pwn2Own 2017 consiguieron escalada de permisos.
#52 El SSH solo lo utilizo para enviar contenidos a los directorios compartidos (en solo lectura y con password) con samba, desde una computadora remota (por lo general, actualizaciones de archivos de texto, desde la mía, que tira de BSD). No he dado permisos a nadie más para acceder a ese servidor por SSH.
Pero tampoco considero que tenga un bunker
Tomo las precauciones básicas y alguna más. Y si alguien necesita actualizar un archivo, mejor que me lo envíe a mi y yo lo envío al servidor samba. Me gusta la comodidad, pero no la intercambio por seguridad.
Imagino que otra gente que tenga muchos más usuarios, se verán en situación de hacer alguna concesión que yo no hago.
#11 No es tan grave. Tienes que tener permitidos los enlaces simbólicos. Tienes que tener también permitidos los enlaces que apuntan fuera del árbol compartido. A demás tienes que tener permitida la cración de estos enlaces. A demás tienes que tener habilitadas las unix extensions de samba y el atacante tiene que acceder desde un linux o algo que soporte usar esas extensiones para así poder crear un enlace malicioso. Después, siguendo ese enlace se podría acceder a un archivo que estuviera fuera del árbol compartido.
#32 No sólo eso, primero tendrías que cumplir una condición de carrera, de manera que puedas cambiar el symlink tras el check del path antes de abrir el acceso al archivo.
"Clients that have write access to the exported part of the file system
via SMB1 unix extensions or NFS to create symlinks can race the server
by renaming a realpath() checked path and then creating a symlink. If
the client wins the race it can cause the server to access the new
symlink target after the exported share path check has been done. This
new symlink target can point to anywhere on the server file system."
#35 El problema está en que puedes escribir un script que lo intente un millón de veces, y que cuando lo consiga simplemente apunte a /etc/shadow, se lo baje, lo reemplace por una copia ligeramente modificada, y si el servidor tiene permitido login de SSH por contraseña, ya eres root.
#60 #56 Bueno, en las POC en laboratorio lo consiguieron sobrecargando previamente la CPU para poder ganarle "la carrera", así que no debe ser tan fácil de explotar "en real". Aunque obviamente es grave, el problema que le veo a la noticia es que no explican casi nada del CVE, da la sensación de que con crear un symlink a un archivo al que no tienes acceso puedas en cualquier circunstancia.
#7 si sabe explotar la vulnerabilidad, si.
Pero tambien puedes poner el servidor en un linux meter el samba en una jaula chroot.
#7 A mi preocuparía más poder acceder al porno de mi abuela.
#17 Hay páginas para eso... ¿cuál era el nombre artístico de tu abuela?
#8 Tienes dos opciones:
smbd -V
smbstatus --version
Google es la polla.
#8 Lo que dice #12
La última version es la 3.6.25
#16 ¿Cómo va a ser la última la 3.6.25 si las que fallan son las anteriores a la 4.6.1?
#19 Estoy hablando en debian (gnu/linux en gral.)
:~$ smbd -V
Version 3.6.25
#21 Juas, la Raspberry ya va más avanzada que el abuelo.
$ smbd -V
Version 4.2.14-Debian
#8 Fácil saber la versión, actualizar a un paquete más moderno que el de los repositorios, no es tan fácil. Creo que añadiré la linea en el config que sugieren en el artículo.
#25 Probablemente esa debian es la versión stable, y la raspberry esté usando testing.
No hay que hacer nada, sólo esperar y actualizar cuando haya una nueva versión (si no es que se ha publicado ya).
#27, no te creas, lo que suele pasar es que tardan mucho en aceptar nuevos estables.
Por otro lado #25 tampoco ha especificado si usa raspbian, otros, o si aparte ha añadido algún repositorio que le actualice antes, porque ya te digo yo que también suelen ir lentos. Por ejemplo kodi (uno de los programas más usados para la raspberry) va por el 15.1 en raspbian y la 17.2 es la última estable.
#34 Estoy usando un Raspbian en pruebas con vistas a un NAS y backup tanto dentro de mi red local como para un par de equipos fuera de ella. De hecho, aún no le he dado acceso desde el exterior porque no me fio de haber hecho bien todas las configuraciones.
#34 Ya, pero que sea una versión anterior no significa que no tenga ese error parcheado. Esa corrección de errores sin cambios grandes en el código es el soporte que precisamente hace que la rama estable sea la más estable.
#21 #39 Si tienes bien configurado tu Debian8 ya esta solucionado del domingo.
https://security-tracker.debian.org/tracker/CVE-2017-2619
#25 #27 #34 yo creo que ambas distribuciones van a la par (4.2.14)
https://packages.debian.org/search?keywords=samba&searchon=names&suite=all§ion=all
#58 Bien configurado está desde mi querida Woody
#c-59" class="content-link" style="color: rgb(227, 86, 20)" data-toggle="popover" data-popover-type="comment" data-popover-url="/tooltip/comment/2754891/order/59">#59 Me acabo de conectar a una maquina para ver si continuaba con woody... no ..actualice a sarge. pero la fecha de instalacion (sigue funcionando 24x7)
debian:/# ls -alct /tail -1awk ''
Dec 18 2004
#61 debían 4 ever
#25 #27 Debian Testing está en la 4.5.6. No sé qué stable llevará la 3.6.25... a lo mejor Debian 7 o algo.
#25 Es que en Debian van muy lentos pero muy estables
#25 Sep, hace tiempo que no uso samba y es posible que mis repositorios esten algo viejuuunos. Por otra parte me suena haber visto una actualización hace tan solo unos días.
#25 entro, abro la terminal
~$ smbd -V
bash: smbd: no se encontró la orden
veo que no tengo esto instalado y me voy.
ssh y sftp, la verdadera salud.
#37 ¿Con eso puedes decirle a un programa Windows: guarda ahí?
#42 sí, necesitas decirle al fichero putty eso ahí, y lo pone.
#16 Yo tengo instalada la 4.4.8 en una Slackware...
#50 Caldera_facts
¿Y el analisis forense de la vulnerabilidad?
¿En qué momento se introdujo y qué sistemas de testeo de la calidad y seguridad y practicas de código no la detectaron?
¿Quién la pudo detectar antes y no lo comunicó?
¿Cómo se ha encontrado supuestamente?
¿Hay algun analisis tipo IA (y aprendizaje automatico) que detecta las posibles vulnerabilidades, posibles lugares de vulnerabilidades basado en un aprendizaje tras entrenarla con miles de lugares en los que se han detectado vulnerabilidades?
Seguramente. ¿Desde cuando están aplicando este sistema algunos para encontrar las vulnerabilidades y guardarselas?
¿Como de grave es? A mi no me lo parece mucho.
Habría que hacer un sub llamado CVE lol
#10 #15 En la configuración por defecto de samba, no pasa nada.
Para los que tengan activados enlaces simbólicos y unix extensions en el servidor, es GRAVE.
Una persona que se conecte a su servidor, con un poco de maña y paciencia, puede descargar y reescribir cualquier archivo del servidor como root.
Iba a enviar la de Hispasec ( http://unaaldia.hispasec.com/2017/03/vulnerabilidad-en-samba-permite-acceder.html ) pero esta explicaba algo más el tema.
#1 ¿Cómo saber qué versión tienes? ¿Cómo se actualiza?
Leyendo el CVE se ve claro que la noticia es sensacionalista...
Esto ya no es ni noticia, el protocolo smb siempre ha sido un puñetero coladero desde que lo perpetraron.
#4 Bueno, en este caso parece que es un problema de la implementación, no del protocolo, el error no existe en Windows
Pero tú no pierdas la oportunidad de maldecir a Bill Gates
#5 Wonderfulloso, solo que el smb lo creó IBM, pero tú a lo tuyo.
#24 Viene deshabilitado por defecto pero a veces hace falta.
follow symlinks = yes
wide links = yes
allow insecure wide links = yes
Para compartir, pasaos al protocolo 9P.
https://landley.net/kdocs/Documentation/filesystems/9p.txt
* System restart required *
Last login: Mon Apr 3 12:06:43 2017 from XXX.XXX.XXX.XXX
xxxx@xxxxxxxx:~$ smbd -V
Version 4.3.11-Ubuntu
Uuuuuups
Hace unos días cambiándole la contraseña el wifi en el router de un familiar (como no) me pareció ver que tenía instalado Samba. Era un ZTE creo recordar y era en una instalación de fibra óptica de orange o de jazztel. ¿Los ISP están montando routers con Samba? Si es así entiendo que esta vulnerabilidad les afecta. ¿Habrá actualización de firmware que lo solvente?
#31 Los routers suelen traer un puerto USB desde el cual compartir una memoria que le enchufes o una impresora, y lo hacen por SAMBA.
#47 pero ¿por qué motivo? le estoy buscando el fallo. A priori, el grupo en el hogar comparte las carpetas de forma genérica tal que las carpetas públicas son para todo el mundo y las carpetas de cada usuario son solo para cada usuario. En una empresa convendría definir mejor los permisos pero en un hogar no veo el problema y además, después se puede cambiar lo que compartes y como lo compartes.
O sea que les van a ver las fotillas guarras a los friquis.
Q beneficios hay de SMB sobre SFTP?
Pregunto... en mi casa todo va por sftp....
#38 Puedes manejar los archivos igual que si fuese una carpeta local. Para usar sftp necesitas un cliente sftp y los archivos no se manejan igual.
Yo uso Samba en Linux desde hace bastantes años, y nunca pude seguir los enlaces simbólicos precisamente porque sería un agujero de seguridad.
¿Este agujero fue introducido a partir de las versiones que cita la noticia?
#9 Supongo que sólo afecta a quienes tengan habilitados no sólo los enlaces simbólicos sino también la creación de ellos (mediante las extensiones unix, porque desde windows no se pueden crear).
#23 Ah, no sabía que se podía habilitar seguir enlaces simbólicos fuera de la ruta compartida.
Con mi configuración no iba ningún enlace simbólico que tuviera una ruta absoluta o relativa a carpetas padre (..), aunque estuviera creado desde el propio servidor.
Pues es lo que tiene ganar en comodidad, que lo pierdes en seguridad.
Vease Samba, sincronizar con google, conexión VNC o las arconocidos grupos caseros de windows, etc...
Por lo menos en Linux lo solucionan rápido.
#18 ¿Cuál es el problema con los grupos caseros de windows? por saber...
#44 Que son menos seguros que el bedel de Genova 13 cuidando las pagas de navidad.