Linux版“永恒之蓝”来袭 360发布Samba漏洞警报

2017-05-25 11:40:47 来源：中原财经网抢沙发

2017-05-25 11:40:47 来源：中原财经网

摘要：Samba是开源共享服务软件，被广泛应用在各种Linux和UNIX系统上，类似于Windows上的SMB服务。最近肆虐的“永恒之蓝”专门攻打Windows的SMB漏洞
关键词： 360

　　Samba是开源共享服务软件，被广泛应用在各种Linux和UNIX系统上，类似于Windows上的SMB服务。最近肆虐的“永恒之蓝”专门攻打Windows的SMB漏洞，此次Samba曝出远程代码执行漏洞主要威胁Linux服务器，一些NAS网络存储产品也受到影响，360提示相关用户尽快进行安全更新。

　　概述

　　2017年5月24日Samba发布了4.6.4版本，中间修复了一个严重的远程代码执行漏洞，漏洞编号CVE-2017-7494，漏洞影响了Samba 3.5.0 之后和包括4.6.4/4.5.10/4.4.14在内的版本。360网络安全中心和 360信息安全部的Gear Team第一时间对该漏洞进行了分析，确认属于严重漏洞，可以造成远程代码执行。

　　技术分析

　　如官方所描述，该漏洞只需要通过一个可写入的Samba用户权限就可以提权到samba所在服务器的root权限(samba默认是root用户执行的)。

　　从Patch来看的话，is_known_pipename函数的pipename中存在路径符号会有问题：

　　再延伸下smb_probe_module函数中就会形成公告里说的加载攻击者上传的dll来任意执行代码了：

　　具体攻击过程：

　　1. 构造一个有’/’ 符号的管道名或路径名，如 “/home/toor/cyg07.so”

　　2. 通过smb的协议主动让服务器smb返回该FID

　　3. 后续直接请求这个FID就进入上面所说的恶意流程

　　具体攻击结果如下：

　　1. 尝试加载　“/home/toor/cyg07.so” 恶意so

　　2. 其中so 代码如下(加载时会调用　samba_init_module 导出函数)

　　3. 最后我们可以在/tmp/360sec中看到实际的执行权限(带root权限)

　　解决方案

　　360网络安全响应中心和360信息安全部建议使用受影响版本的用户立即通过以下方式来进行安全更新操作，

　　1. 使用源码安装的Samba用户，请尽快下载最新的Samba版本手动更新;

　　2. 使用二进制分发包(RPM等方式)的用户立即进行yum，apt-get update等安全更新操作;

　　缓解策略：用户可以通过在smb.conf的[global]节点下增加　nt pipe support = no 选项，然后重新启动samba服务，以此达到缓解该漏洞的效果。

第三十六届CIO班招生
国际CIO认证培训
首席数据官（CDO）认证培训

责编：chenjian

免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。