[devel] samba 0-day exploit

[devel] samba 0-day exploit

[Alexey Borovskoy]

Добрый день.

http://www.securityfocus.com/archive/1/509389

P.S. Давайте все же слезем с неподдерживаемой ветки.

-- 
Алексей.
GPG key fingerprint
DBB3 1832 13C6 5C96 4A58  4AFF 78F7 159F 66AD 8D7E

Re: [devel] samba 0-day exploit

[Alexander Bokovoy]

2010/2/7 Alexey Borovskoy <alb@altlinux.ru>:
> Добрый день.
>
> http://www.securityfocus.com/archive/1/509389
>
> P.S. Давайте все же слезем с неподдерживаемой ветки.
Не читайте желтую прессу. То, что там упомянуто -- не имеет отношения
к древности и неподдерживаемости ветки.

Выставьте

wide links = no
unix extensions = no

и забудьте об этой проблеме.

Подробнее прочитайте дискуссию
http://lists.samba.org/archive/samba-technical/2010-February/069183.html

Это не уязвимость, а "фича". В Самбе есть два режима, при которых можно
использовать символические ссылки в файловой системе на ресурсы: для Windows
(wide links) и для Unix (unix extensions). В первом случае разрешение ссылок в
реальные ресурсы делает сервер, во втором -- клиент.

Оба случая имеют под собой реальную основу и могут использоваться в реальной
жизни. Проблема возникает только с ситуациями, когда одновременно настроены
unix extensions и wide links.

Таким образом, для администраторов необходимо:
1. Включить unix extensions, отключить wide links,  -- для случая, когда
используются преимущественно unix-клиенты.

2. Отключить unix extensions, включить wide links -- для windows-клиентов в
этом случае будут выполняться проверки на выход за пределы текущей share и
никакая созданная клиентом символическая ссылка не сможет выйти за пределы
текущей share.

3. Отключить unix extensions, отключить wide links -- в этом случае невозможно
будет создать символическую ссылку с любого клиента.

Во всех случаях "привязывание" ресурсов за пределами текущей share правильнее
делать средствами mount -o bind.

Одновременно держать включенными обе опции смысла нет. К сожалению, это как раз
и является настройкой по умолчанию в Самбе с 2005 года.

Назвать это "уязвимостью" можно только с большой натяжкой, модифицировать для
этого smbclient вовсе не нужно -- в данном случае это показатель того, что
человек не понимает совершенно, что он делает.

Если пользователь имеет доступ по ssh на этот же сервер, то он может создать в
домашней директории символическую ссылку на что угодно, а потом разрешить эту
символическую ссылку из Windows клиента. Если используются unix extensions, то
фактически это равносильно доступу этого же клиента по ssh в смысле файловых
операций. За одним исключением -- в этом режиме символические ссылки разрешать
будет клиент, а не сервер. А переключившись на клиента, который не умеет unix
extensions, при включенном wide links, мы заставим сервер разрешить эту же
символическую ссылку -- с теми правами, под которыми зайдет пользователь (чаще
всего nobody для публичных ресурсов и с правами конкретного пользователя для
авторизованных).

Поскольку такое поведение в любом случае должно определяться ситуацией в
конкретной организации, то это вопрос настроек, применяемых администратором.
Максимум, что можно сделать с нашей (дистрибутивной) стороны -- сменить
умолчание на wide links = no, unix extensions = yes, предполагая, что будет
больше unix клиентов, либо сменить на умолчание wide links = yes, unix
extensions = no.

Я могу также добавить код, тестируемый сейчас Джереми Эллисоном,
который запрещает wide links при включении unix extensions и наоборот.
Любой взаимоисключающий (или выключающий оба режима) вариант возможен
в качестве дистрибутивного.

Хотелось бы только одного -- поменьше "веры" в то, что говорят в
желтой прессе, которой стали многие информационные бюллетени по
безопасности.
-- 
/ Alexander Bokovoy

Re: [devel] samba 0-day exploit

[Andrew Clark]

> Не читайте желтую прессу. То, что там упомянуто -- не имеет отношения
> к древности и неподдерживаемости ветки.

Спасибо за информацию. Однако, возвращаясь к вопросу об актуальности
текущей версии самбы в сизифе, чем чревато обновление до 3.4.5?


-- 
Talk is cheap, show me the code (c) Linus Torvalds

Re: [devel] samba 0-day exploit

[Alexander Bokovoy]

2010/2/7 Andrew Clark <andrewclarkii@gmail.com>:
>> Не читайте желтую прессу. То, что там упомянуто -- не имеет отношения
>> к древности и неподдерживаемости ветки.
>
> Спасибо за информацию. Однако, возвращаясь к вопросу об актуальности
> текущей версии самбы в сизифе, чем чревато обновление до 3.4.5?
Перестанут работать все существующие конфигурации, потому что придется
править smb.conf и втягивать старые базы (нетривиально). Это если
обновлять "в лоб", как неоднократно предлагалось в этой рассылке летом
2009.

У меня в планах выделять приблизительно два-три вечера в неделю на
работы по обновлению, начиная с марта. До этого -- меньше.
-- 
/ Alexander Bokovoy

Re: [devel] samba 0-day exploit

[Alexander Bokovoy]

2010/2/7 Andrew Clark <andrewclarkii@gmail.com>:
>> Не читайте желтую прессу. То, что там упомянуто -- не имеет отношения
>> к древности и неподдерживаемости ветки.
>
> Спасибо за информацию. Однако, возвращаясь к вопросу об актуальности
> текущей версии самбы в сизифе, чем чревато обновление до 3.4.5?
Перестанут работать все существующие конфигурации, потому что придется
править smb.conf и втягивать старые базы (нетривиально). Это если
обновлять "в лоб", как неоднократно предлагалось в этой рассылке летом
2009.

У меня в планах выделять приблизительно два-три вечера в неделю на
работы по обновлению, начиная с марта. До этого -- меньше.

-- 
/ Alexander Bokovoy

Re: [devel] samba 0-day exploit

[Andrew Clark]

7 февраля 2010 г. 11:31 пользователь Alexander Bokovoy <ab@samba.org> написал:

> Перестанут работать все существующие конфигурации, потому что придется
> править smb.conf и втягивать старые базы (нетривиально). Это если
> обновлять "в лоб", как неоднократно предлагалось в этой рассылке летом
> 2009.

Сейчас поглядел спек самбы. У него в sources идет дефолтный smb.conf и
smb-aw.conf.
Я так понял, второй файл идет под какую-то конкретную задачу? Мне не
понятно нежелание
менять smb.conf - это работа системного администратора. При смене
версии софта, бывает такое,
что меняется конфигурационный файл. Как пример - dovecot. Под базами
подразумевались
база данных паролей Самбы?

> У меня в планах выделять приблизительно два-три вечера в неделю на
> работы по обновлению, начиная с марта. До этого -- меньше.

А как постепенный процесс будет выглядеть?


-- 
Talk is cheap, show me the code (c) Linus Torvalds

Re: [devel] samba 0-day exploit

[Alexander Bokovoy]

2010/2/7 Andrew Clark <andrewclarkii@gmail.com>:
> 7 февраля 2010 г. 11:31 пользователь Alexander Bokovoy <ab@samba.org> написал:
>
>> Перестанут работать все существующие конфигурации, потому что придется
>> править smb.conf и втягивать старые базы (нетривиально). Это если
>> обновлять "в лоб", как неоднократно предлагалось в этой рассылке летом
>> 2009.
>
> Сейчас поглядел спек самбы. У него в sources идет дефолтный smb.conf и
> smb-aw.conf.
> Я так понял, второй файл идет под какую-то конкретную задачу? Мне не
> понятно нежелание
> менять smb.conf - это работа системного администратора. При смене
> версии софта, бывает такое,
> что меняется конфигурационный файл. Как пример - dovecot. Под базами
> подразумевались
> база данных паролей Самбы?
Я бы не сравнивал dovecot и самбу в этом смысле. В Самбе сейчас более
600 конфигурационных параметров, поведение ключевых из них (около двух
десятков) изменилось между 3.0 и 3.4. Баз данных в Самбе около 10,
формат ключевых из них (база данных паролей, служебная база для
хранения доменных идентификаторов) сменился. Временные базы можно
игнорировать, они все равно уничтожаются при перезапуске и
перезагрузке, но с этими нужно очень аккуратно. Если учитывать, что
схемы в LDAP изменились, то обновление затрагивает более чем одно
приложение. Для такого критического компонента как Самба я не могу
позволить себе сделать обновление в стиле "поставили новое, правьте
все свою конфигурацию сами".

>> У меня в планах выделять приблизительно два-три вечера в неделю на
>> работы по обновлению, начиная с марта. До этого -- меньше.
>
> А как постепенный процесс будет выглядеть?
Постепенно и будет выглядеть, вне Сизифа, в отдельном кармане.


-- 
/ Alexander Bokovoy

Re: [devel] samba 0-day exploit

[Anton Farygin]

07.02.2010 12:34, Alexander Bokovoy пишет:
> 2010/2/7 Andrew Clark<andrewclarkii@gmail.com>:
>> 7 февраля 2010 г. 11:31 пользователь Alexander Bokovoy<ab@samba.org>  написал:

<skip>

> перезагрузке, но с этими нужно очень аккуратно. Если учитывать, что
> схемы в LDAP изменились, то обновление затрагивает более чем одно
> приложение. Для такого критического компонента как Самба я не могу
> позволить себе сделать обновление в стиле "поставили новое, правьте
> все свою конфигурацию сами".

Почему, если не секрет ?

Конечно, миграция дело очень хорошее, но мне кажется, что будет крайне 
тяжело учесть все возможные конфигурации. Установка Samba3.4 рядом и 
миграция вручную в данном случае, на мой взгляд, для администратора была 
бы предпочтительнее.

А как миграция происходила в других репозиториях ? может быть уже кто-то 
подготовил утилиты конвертации баз данных и конфигурационных файлов ?

Re: [devel] samba 0-day exploit

[Andrew Clark]

7 февраля 2010 г. 12:34 пользователь Alexander Bokovoy
<ab@altlinux.org> написал:

> Я бы не сравнивал dovecot и самбу в этом смысле. В Самбе сейчас более
> 600 конфигурационных параметров, поведение ключевых из них (около двух
> десятков) изменилось между 3.0 и 3.4. Баз данных в Самбе около 10,
> формат ключевых из них (база данных паролей, служебная база для
> хранения доменных идентификаторов) сменился. Временные базы можно
> игнорировать, они все равно уничтожаются при перезапуске и
> перезагрузке, но с этими нужно очень аккуратно. Если учитывать, что
> схемы в LDAP изменились, то обновление затрагивает более чем одно
> приложение. Для такого критического компонента как Самба я не могу
> позволить себе сделать обновление в стиле "поставили новое, правьте
> все свою конфигурацию сами".

Спасибо за развернутый ответ. То, что и хотелось узнать!


>> А как постепенный процесс будет выглядеть?
> Постепенно и будет выглядеть, вне Сизифа, в отдельном кармане.

Так в Альте вроде нету карманов? Или имеется в виду собственный git?

-- 
Talk is cheap, show me the code (c) Linus Torvalds

Re: [devel] samba 0-day exploit

[Alexander Bokovoy]

2010/2/7 Anton Farygin <rider@altlinux.com>:
> 07.02.2010 12:34, Alexander Bokovoy пишет:
>>
>> 2010/2/7 Andrew Clark<andrewclarkii@gmail.com>:
>>>
>>> 7 февраля 2010 г. 11:31 пользователь Alexander Bokovoy<ab@samba.org>
>>>  написал:
>
> <skip>
>
>> перезагрузке, но с этими нужно очень аккуратно. Если учитывать, что
>> схемы в LDAP изменились, то обновление затрагивает более чем одно
>> приложение. Для такого критического компонента как Самба я не могу
>> позволить себе сделать обновление в стиле "поставили новое, правьте
>> все свою конфигурацию сами".
>
> Почему, если не секрет ?
Потому что я лично считаю другой подход неприемлемым. Если кому-то он
кажется приемлемым, значит его заказчики не были достаточно
требовательными к своей инфраструктуре. Мы же не в бирюльки играем.

> Конечно, миграция дело очень хорошее, но мне кажется, что будет крайне
> тяжело учесть все возможные конфигурации. Установка Samba3.4 рядом и
> миграция вручную в данном случае, на мой взгляд, для администратора была бы
> предпочтительнее.
Миграция будет все равно ручной, но обеспечить достаточную помощь для
сложного продукта просто необходимо. Особенно если идет речь о том,
что после миграции потребуется перевводить сотни и тысячи машин снова
в домен. Вам это надо?

> А как миграция происходила в других репозиториях ? может быть уже кто-то
> подготовил утилиты конвертации баз данных и конфигурационных файлов ?
Никак, все просто кинули своих заказчиков в этой части. Редхат -- при
переходе на RHEL5 воспользовался тем, что система изменилась
достаточно сильно _глобально_.

-- 
/ Alexander Bokovoy

Re: [devel] samba 0-day exploit

[Alexander Bokovoy]

2010/2/7 Andrew Clark <andrewclarkii@gmail.com>:
>>> А как постепенный процесс будет выглядеть?
>> Постепенно и будет выглядеть, вне Сизифа, в отдельном кармане.
>
> Так в Альте вроде нету карманов? Или имеется в виду собственный git?
Карманы существуют давно, с самого начала ftp.altlinux.org, называются people.
Для тестирования этого достаточно.
-- 
/ Alexander Bokovoy

Re: [devel] samba 0-day exploit

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 988 bytes --]

On Sun, Feb 07, 2010 at 08:41:30AM +0200, Alexander Bokovoy wrote:
[...]
> Одновременно держать включенными обе опции смысла нет. К сожалению, это как раз
> и является настройкой по умолчанию в Самбе с 2005 года.
[...]
> Поскольку такое поведение в любом случае должно определяться ситуацией в
> конкретной организации, то это вопрос настроек, применяемых администратором.
> Максимум, что можно сделать с нашей (дистрибутивной) стороны -- сменить
> умолчание на wide links = no, unix extensions = yes, предполагая, что будет
> больше unix клиентов, либо сменить на умолчание wide links = yes, unix
> extensions = no.
> 
> Я могу также добавить код, тестируемый сейчас Джереми Эллисоном,
> который запрещает wide links при включении unix extensions и наоборот.
> Любой взаимоисключающий (или выключающий оба режима) вариант возможен
> в качестве дистрибутивного.

Я думаю, что надо и умолчание сменить, и запретить одновременное включение
этих двух опций.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] samba 0-day exploit

[Alexander Bokovoy]

2010/2/7 Dmitry V. Levin <ldv@altlinux.org>:
> On Sun, Feb 07, 2010 at 08:41:30AM +0200, Alexander Bokovoy wrote:
> [...]
>> Одновременно держать включенными обе опции смысла нет. К сожалению, это как раз
>> и является настройкой по умолчанию в Самбе с 2005 года.
> [...]
>> Поскольку такое поведение в любом случае должно определяться ситуацией в
>> конкретной организации, то это вопрос настроек, применяемых администратором.
>> Максимум, что можно сделать с нашей (дистрибутивной) стороны -- сменить
>> умолчание на wide links = no, unix extensions = yes, предполагая, что будет
>> больше unix клиентов, либо сменить на умолчание wide links = yes, unix
>> extensions = no.
>>
>> Я могу также добавить код, тестируемый сейчас Джереми Эллисоном,
>> который запрещает wide links при включении unix extensions и наоборот.
>> Любой взаимоисключающий (или выключающий оба режима) вариант возможен
>> в качестве дистрибутивного.
>
> Я думаю, что надо и умолчание сменить, и запретить одновременное включение
> этих двух опций.
Да. Думаю, что wide links = no, unix extensions = yes будет хорошим умолчанием.

-- 
/ Alexander Bokovoy

[devel] samba 3.$current

[Michael Shigorin]

On Sun, Feb 07, 2010 at 11:52:09AM +0200, Alexander Bokovoy wrote:
> Миграция будет все равно ручной, но обеспечить достаточную
> помощь для сложного продукта просто необходимо. Особенно если
> идет речь о том, что после миграции потребуется перевводить
> сотни и тысячи машин снова в домен. Вам это надо?

Саш, может иметь смысл начать с публикации в people сборки
для тех, кто согласен мигрировать сам либо разворачивает новые
системы сейчас и рад бы подсобить с тестированием, особенно если
получится избежать потерь времени на миграцию.

У меня, скажем, сейчас под присмотром одна самба в режиме share,
которая когда-то переедет в user, но пока вполне можно позволить
себе дропать всё подряд, лишь бы за часик она опять завелась в
том же режиме.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] samba 3.$current

[Alexander Bokovoy]

2010/2/7 Michael Shigorin <mike@osdn.org.ua>:
> On Sun, Feb 07, 2010 at 11:52:09AM +0200, Alexander Bokovoy wrote:
>> Миграция будет все равно ручной, но обеспечить достаточную
>> помощь для сложного продукта просто необходимо. Особенно если
>> идет речь о том, что после миграции потребуется перевводить
>> сотни и тысячи машин снова в домен. Вам это надо?
>
> Саш, может иметь смысл начать с публикации в people сборки
> для тех, кто согласен мигрировать сам либо разворачивает новые
> системы сейчас и рад бы подсобить с тестированием, особенно если
> получится избежать потерь времени на миграцию.
>
> У меня, скажем, сейчас под присмотром одна самба в режиме share,
> которая когда-то переедет в user, но пока вполне можно позволить
> себе дропать всё подряд, лишь бы за часик она опять завелась в
> том же режиме.
По-моему, я достаточно четко это и обозначил.

-- 
/ Alexander Bokovoy