お問い合わせ

Sambaのセキュリティ脆弱性に関する製品アップデートのお知らせ

アップデート版では Sambaのセキュリティ脆弱性に対応する修正が行なわれていますので適用をお願いします。

2022-08-29

サポートニュース

Samba

update

製品アップデートのお知らせ

Samba の以下のセキュリティ脆弱性の修正を行ないました。

  • CVE-2022-2031
  • CVE-2022-32742
  • CVE-2022-32744
  • CVE-2022-32745
  • CVE-2022-32746

対象

SambaサーバーをActive Directoryのドメインコントローラーとして運用しているサーバー、および、SMB1を利用可能としているファイルサーバーに影響があります。

  • Samba 4.15.5-157 までのバージョン

本修正により osstech-samba-4.15.9-158 を提供します。

問題の概要

  1. CVE-2022-2031

SambaをActive Directoryドメインコントローラーとして構成している環境において、パスワードの有効期限が切れたユーザーが、パスワード変更以外のサービスを利用できる可能性があった問題を修正しました。

  1. CVE-2022-32742

SMB1が有効なSambaのファイルサーバーで、メモリ境界の不適切なチェックにより、書き込み権限がある共有上でSMB1の書き込みリクエストにより、ファイルにSambaサーバーのメモリの内容を書き込むことができる問題を修正しました。 なお、Samba 4.11以降ではSMB1はデフォルトでは無効化されています。

  1. CVE-2022-32744

SambaをActive Directoryドメインコントローラーとして構成している環境において、パスワード変更サービスの脆弱性により、ユーザーがドメインの管理者のパスワードを変更して管理権限を奪取できる可能性がある問題を修正しました。

  1. CVE-2022-32745

SambaをActive Directoryドメインコントローラーとして構成している環境において、ユーザー権限にてSambaサーバーに細工したLDAPの登録・更新リクエストを送ることで、Sambaサービスを異常停止できる可能性がある問題を修正しました。

  1. CVE-2022-32746

SambaをActive Directoryドメインコントローラーとして構成している環境において、データベース監査モジュールが有効な場合、ユーザー権限にてSambaサーバーに細工したLDAPの登録・更新リクエストを送ることで、Sambaサービスを異常終了できる可能性がある問題を修正しました。

アップデートパッケージの入手方法

お客様がご利用中の Samba の環境について、下記の動作 OS、ご利用中のSambaのバージョンの情報をご確認の上、弊社サポート窓口まで、サポートID、会社名、ご担当者名を添えてご連絡ください。

OS について

  • Red Hat Enterprise Linux 7 / CentOS 7 (x86-64)
  • Red Hat Enterprise Linux 8 / CentOS 8 / Rocky Linux 8 / AlmaLinux 8 (x86-64)

Samba のバージョンについて

下記のコマンドでご確認ください。

$ rpm -q osstech-samba

ご利用中のSambaの設定が Active Directory構成か、その他の構成か確認するために次のコマンドで設定情報を取得して、ご連絡ください。

# /opt/osstech/bin/testparm -s |grep 'Server role:'
Go To Top