Критическая уязвимость CVE-2017-14746 в Samba 4.x позволяет удалённо выполнять код

Вчера в почтовой рассылке проекта свободной реализации протоколов SMB/CIFS — Samba — были представлены релизы 4.7.3, 4.6.11 и 4.5.15, исправляющие две уязвимости в коде.

Первая уязвимость в Samba — CVE-2017-14746 — может привести к серьёзным последствиям, поскольку ошибка типа use-after-free (использование памяти после её очистки) в реализации протокола SMB1, используемой во всех версиях Samba 4.x, позволяет удалённому пользователю без аутентификации отправить специальный запрос к серверу, который вызовет его падение или исполнит произвольный код. В качестве временного решения (до установки патчей/новой версии Samba) возможно запретить использование SMB1, выставив директиву «server min protocol = SMB2».

Логотип Samba
Логотип Samba / Иллюстрация с сайта En.Wikipedia.Org

В Red Hat проблеме CVE-2017-14746 присвоили «важную» категорию (important) и сообщили о том, что она затрагивает пакет samba в Red Hat Gluster Storage 3.3 и Red Hat Enterprise Linux 7, а также пакет samba4 в Red Hat Enterprise Linux 6.

Вторая проблема — CVE-2017-15275 — затрагивает релизы Samba 3.6.0 и выше, потенциально приводит к возможности утечки информации, однако известных уязвимостей, которые бы её эксплуатировали, пока нет.

Дмитрий Шурупов по материалам samba.org, samba.org, Red Hat Customer Portal.




!

Если для Вас конкретно эта новость оказалась важной или интересной - пожалуйста, поделитесь ею в своей любимой социальной сети с помощью кнопок, расположенных под этим текстом. Это поможет нам в будущем делать более качественную подборку материалов, исходя из Ваших потребностей\интересов.




Коды для вставки в блог\форум

blog comments powered by Disqus


Вспомним другие новости из этого раздела?


Soft

←+Ctrl+→

Интересные новости
Как проверить безопасность ваших расширений в Google ChromeКак проверить безопасность ваших расширений в Google Chrome
Microsoft запустила бесплатную версию корпоративного мессенджера TeamsMicrosoft запустила бесплатную версию корпоративного мессенджера Teams
Opera представила первый мобильный браузер со встроенным криптокошелькомOpera представила первый мобильный браузер со встроенным криптокошельком
NVIDIA создала ИИ, моментально улучшающий изображенияNVIDIA создала ИИ, моментально улучшающий изображения
В Google Chrome появится встроенный определитель «тяжёлых» страницВ Google Chrome появится встроенный определитель «тяжёлых» страниц
Блок рекламы


Похожие новости

Новый AdBlock позволяет блокировать отслеживание пользователей соцсетямиНовый AdBlock позволяет блокировать отслеживание пользователей соцсетями
Уязвимость в клиенте Steam на протяжение 10 лет давала доступ к компьютерам пользователей
Уязвимость в Chrome и Firefox в течение года позволяла получать данные о Facebook-профиляхУязвимость в Chrome и Firefox в течение года позволяла получать данные о Facebook-профилях
Google и Microsoft нашли новую процессорную уязвимость. Патч может снизить производительность
В Internet Explorer обнаружена 0-day уязвимость, которую уже используют хакерыВ Internet Explorer обнаружена 0-day уязвимость, которую уже используют хакеры
В uTorrent нашли уязвимость, которая позволяет сайтам получать контроль над ПК
В большинстве процессоров Intel нашли уязвимость. Ее решение требует изменений в ядрах ОС и понижает производительность
В Windows 10 нашли важную уязвимостьВ Windows 10 нашли важную уязвимость
В Apple HomeKit найдена опасная уязвимостьВ Apple HomeKit найдена опасная уязвимость
Уязвимость: на macOS High Sierra можно получить права администратора не зная пароля
Последние новости

Подгружаем последние новости