Blog

Am 22. Februar 2024 findet von 15 bis 16 Uhr (MEZ) der nächste Termin der Webinarreihe „Setting up Samba on AIX with SAMBA+“ statt. Die Registrierung zur Veranstaltung und weitere Informationen sind hier zu finden. Die genutzte Plattform ist GoTo-Webinar.

Im Webinar erfahren Teilnehmerinnen und Teilnehmer von unserem Experten Björn Jacke, wie Samba mit SAMBA+ auf AIX, dem Unix-Betriebssystem von IBM, eingerichtet und in eine Active-Directory-Umgebung integriert werden kann. Dabei erhalten sie unter anderem Hinweise, wie häufig auftretende Schwierigkeiten überwunden werden können. Ein besonderes Augenmerk wird auch auf die Parameter-Einstellung in AIX gelegt. Außerdem wird es die Möglichkeit geben, Fragen zu klären.

Dieses Webinar wird in englischer Sprache abgehalten. Weitere Termine werden in Kürze bekannt gegeben.

"Backup von Windows AD und wie man es auf Samba migriert" zeigten Björn Jacke und Volker Lendecke am 7. Dezember 2023 im Hörsaal des Jacob-und-Wilhelm-Grimm-Zentrums der Humboldt-Universität zu Berlin. Die beiden langjährigen Mitglieder des Samba-Teams bei SerNet und des Samba-Core-Teams hielten den Vortrag im Rahmen der Veranstaltungsreihe des Adminstammtisch Berlin.

Der Vortrag bietet umfangreiches Wissen über die Migration und Absicherung von Windows Active Directory zu Samba: Die meisten Active Directory-Installationen sind Windows-basiert. Samba ermöglicht es, eine solche AD-Installation mit Unix-Mitteln zu sichern und das Backup dann mit einem Samba-DC zum Laufen zu bringen. Dies kann nicht nur für Backups nützlich sein, sondern auch für eine Migration von Windows zu Samba, die Jacke und Lendecke demonstrierten. Eine Aufzeichnung ist verfügbar.

Außerdem gaben sie wertvolle Einblicke in Samba und die von SerNet angebotenen SAMBA+ Softwarepakete für verschiedene Linux-Distributionen und IBM AIX. Der Adminstammtisch Berlin wird von und für IT-Profis organisiert, die sich dem Wissens- und Erfahrungsaustausch und der Diskussion aktueller IT-Themen verschrieben haben.

SAMBA+ 4.19.3-5 und 4.18.9-9  sind soeben vom Samba-Team der SerNet veröffentlicht worden. Pakete für verschiedene SUSE- und Red Hat-Plattformen sowie für Debian GNU/Linux, Ubuntu und AIX sind ab sofort verfügbar.

Die Release-Historie finden Sie hier:

• https://www.samba.org/samba/history/samba-4.19.3.html
• https://www.samba.org/samba/history/samba-4.18.9.html

Der Fix für CVE-2018-14628, der nun Teil der Upstream-Versionen 4.19.3 und 4.18.9 ist, wurde bereits in SAMBA+ 4.19.2 bzw. SAMBA+ 4.18.8 behoben. Der Vollständigkeit halber beschreiben wir noch einmal, wie Sie den aktuellen Fix für die AD-Datenbank anwenden. Wenn Sie das bereits mit dem letzten SAMBA+ Update gemacht haben, müssen Sie die folgenden Schritte nicht noch einmal durchführen.

Maßnahmen zur Behebung von CVE-2018-14628 erforderlich

Das gepatchte Samba schützt bestehende Domains NICHT!

Der Administrator muss den folgenden Befehl ausführen (auf nur einem Domänencontroller), um den Schutz auf eine bestehende Domäne anzuwenden:

  samba-tool dbcheck --cross-ncs --attrs=nTSecurityDescriptor --fix

Das obige Verfahren erfordert manuelle Eingriffe, um die Änderungen zu überprüfen, bevor sie angewendet werden. Typische Querys sehen wie folgt aus:

  Reset nTSecurityDescriptor on CN=Deleted Objects,DC=samba,DC=org back to provision default?
        Owner mismatch: SY (in ref) DA(in current)
        Group mismatch: SY (in ref) DA(in current)
        Part dacl is different between reference and current here is the detail:
                (A;;LCRPLORC;;;AU) ACE is not present in the reference
                (A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY) ACE is not present in the reference
                (A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;DA) ACE is not present in the reference
                (A;;CCDCLCSWRPWPSDRCWDWO;;;SY) ACE is not present in the current
                (A;;LCRP;;;BA) ACE is not present in the current
   [y/N/all/none] y
  Fixed attribute 'nTSecurityDescriptor' of 'CN=Deleted Objects,DC=samba,DC=org' 

Die Änderung sollte mit 'y' für alle Objekte, bestätigt werden, beginnend mit:

'CN=Deleted Objects'.

SAMBA+ 4.19.2-4 wurde soeben vom Samba-Team der SerNet veröffentlicht. Pakete für verschiedene SUSE- und Red Hat-Plattformen sowie für Debian GNU/Linux, Ubuntu und AIX sind jetzt verfügbar.

https://www.samba.org/samba/history/samba-4.19.2.html

Zusätzlich zu den Fixes aus den obigen Release Notes enthält SAMBA+ noch 2 weitere bemerkenswerte Fixes:

Ein Fix für Kerboros User2User TGS-REQ, der unter bestimmten Umständen verhindert, dass Benutzer Tickets für sich selbst abrufen können:

https://bugzilla.samba.org/show_bug.cgi?id=15492

Noch wichtiger ist die zweite zusätzliche Änderung, die die Berechtigung des Containers für gelöschte Objekte korrigiert (CVE-2018-14628). Es ist jedoch erforderlich, einen Befehl auszuführen, um die Berechtigung zu korrigieren, da die ACLs auf dem Container nicht automatisch geändert werden. Sie müssen Folgendes tun, um die Berechtigung zu korrigieren:

==================================================
Erforderliche Maßnahme zur Behebung von CVE-2018-14628
==================================================

Das gepatchte Samba schützt bestehende Domänen NICHT!

Der Administrator muss den folgenden Befehl ausführen (auf nur einem Domänencontroller), um den Schutz auf eine bestehende Domäne anzuwenden:

  samba-tool dbcheck --cross-ncs --attrs=nTSecurityDescriptor --fix

Dies erfordert manuelle Eingriffe, um die Änderungen zu überprüfen, bevor sie angewendet werden. Typische Fragen sehen wie folgt aus:

  Reset nTSecurityDescriptor on CN=Deleted Objects,DC=samba,DC=org back to provision default?
        Owner mismatch: SY (in ref) DA(in current)
        Group mismatch: SY (in ref) DA(in current)
        Part dacl is different between reference and current here is the detail:
                (A;;LCRPLORC;;;AU) ACE is not present in the reference
                (A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY) ACE is not present in the reference
                (A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;DA) ACE is not present in the reference
                (A;;CCDCLCSWRPWPSDRCWDWO;;;SY) ACE is not present in the current
                (A;;LCRP;;;BA) ACE is not present in the current
   [y/N/all/none] y
  Fixed attribute 'nTSecurityDescriptor' of 'CN=Deleted Objects,DC=samba,DC=org'

Die Änderung sollte mit "y" für alle Objekte, die mit "CN=Deleted Objects" beginnen, bestätigt werden.

Die nächsten Updates der SAMBA+-Pakete 4.17 und 4.18 werden auch CVE-2018-14628 beheben.

SAMBA+-Pakete sind als Software-Abonnements erhältlich und können im SAMBA+-Shop erworben werden. Detaillierte Informationen und Preise finden Sie unter usdshop.samba.plus (Währung: USD) oder shop.samba.plus (Währung: EUR). Die neuen SAMBA+-Pakete sind in den bestehenden Abonnements enthalten. Wenn Sie weitere Fragen haben oder ein Angebot anfordern möchten, können Sie uns gerne kontaktieren.

SerNet Samba-Team

SAMBA+ 4.19.1, 4.18.8 und 4.17.12 sind soeben veröffentlicht worden. Die Pakete für verschiedene SUSE- und Red Hat-Plattformen sowie für Debian GNU/Linux, Ubuntu und AIX sind jetzt verfügbar. Bitte beachte: Es handelt sich um Sicherheitsupdates, die Pakete sollten so schnell wie möglich eingespielt werden. Diese Pakete beheben mehrere sicherheitsrelevante Probleme.

• CVE-2023-3961 Nicht sanitisierter Client-Pipe-Name, der an local_np_connect() übergeben wurde
• CVE-2023-4154 dirsync erlaubt SYSTEM-Zugriff nur mit dem Recht "GUID_DRS_GET_CHANGES", nicht "GUID_DRS_GET_ALL_CHANGES".
• CVE-2023-4091 Der Client kann die Datei mit Nur-Lese-Berechtigung abschneiden
• CVE-2023-42670 Die Vorgangsnummer liegt beim Starten von Active Directory-Benutzer und -Computer außerhalb des Bereichs
• CVE-2023-42669 rpcecho, das im AD DC aktiviert ist und läuft, ermöglicht das Blockieren des Schlafs auf Anfrage

Außerdem enthält die Version 4.19.1 Korrekturen für:

• Bug 15491: Heap-Pufferüberlauf mit Freshness-Tokens im Heimdal KDC