Blog

SAMBA+ 4.17.2, 4.16.6 et 4.15.11 viennent d'être publiés. Il s'agit de versions de sécurité importantes, veuillez mettre à jour les systèmes affectés dès que possible. Les paquets sont disponibles pour diverses plateformes SUSE et Red Hat ainsi que pour Debian GNU/Linux, Ubuntu et AIX.

Les paquets 4.17.2 traitent les problèmes suivants:

• CVE-2022-3437: Buffer overflow in Heimdal unwrap_des3():
  There is a limited write heap buffer overflow in the GSSAPI unwrap_des() and unwrap_des3() routines of Heimdal (included in Samba).
• CVE-2022-3592: Wide links protection broken:
  A malicious client can use a symlink to escape the exported directory.

Samba 4.16 et 4.15 ne sont pas affectés par CVE-2022-3592, les paquets adressent CVE-2022-3437.

Les paquets 4.15.11 traitent en outre les problèmes suivants:

• Bug 15197: Windows 11 22H2 and Samba-AD 4.15 Kerberos login issue
• Bug 15202: writev epoll_wait cpu-spinning in the LDAP server

SAMBA+ 4.15.10 vient d'être publié par SerNet. Les paquets pour les différentes plateformes SUSE et Red Hat ainsi que pour Debian GNU/Linux, Ubuntu et AIX sont disponibles dès maintenant.

Ces paquets traitent plusieurs problèmes, les changements depuis Samba 4.15.9 sont listés dans les notes de publication ici: https://www.samba.org/samba/history/samba-4.15.10.html

.

SAMBA+ 4.17.0 vient d'être publié. Les paquets pour les différentes plateformes SUSE et Red Hat ainsi que pour Debian GNU/Linux et Ubuntu sont disponibles dès maintenant. SAMBA+ 4.17 pour AIX suivra bientôt.

Il s'agit de la première version SAMBA+ stable de la nouvelle série de versions Samba 4.17. Veillez à effectuer des tests approfondis avant de procéder à la mise à niveau et lisez attentivement les notes de mise à jour! Les notes de version, qui contiennent des informations sur les changements et les nouvelles fonctionnalités de la nouvelle version majeure, sont disponibles ici:

https://www.samba.org/samba/history/samba-4.17.0.html

Avec la nouvelle version 4.17, Samba 4.16 est passé en "mode maintenance" et Samba 4.15 en "mode correctifs de sécurité uniquement". Samba 4.14 ne recevra pas de mises à jour au-delà de ce point. Les dépôts de SAMBA+ 4.14 seront bientôt désactivés. Veuillez effectuer une mise à jour vers une version plus récente de SAMBA+.

Vous trouverez des détails sur la mise à jour dans la collection HowTo de SAMBA+:

https://samba.plus/samba-howto/

.

SerNet a publié SAMBA+ 4.16.5. Des paquets pour différentes plates-formes SUSE et Red Hat ainsi que pour Debian GNU/Linux, Ubuntu et AIX sont disponibles.

Les paquets mis à jour corrigent plusieurs problèmes énumérés dans les notes de publication:

https://www.samba.org/samba/history/samba-4.16.5.html

De plus, la nouvelle version de SAMBA+ résout un problème avec les versions récentes de l'outil Microsoft Azure AD Connect, qui empêchait la synchronisation des mots de passe.

Nos paquets AIX-Samba corrigent en outre un problème avec la commande "net ads keytab create".

De nouveaux paquets SAMBA+ mis à jour 4.16.3-*, 4.15.8-* et 4.14.13-* viennent d'être publiés (les numéros de version exacts sont indiqués ci-dessous). Il s'agit de versions de sécurité importantes, veuillez mettre à jour les systèmes concernés dès que possible. Les paquets sont disponibles pour diverses plates-formes SUSE et Red Hat, ainsi que pour Debian GNU/Linux, Ubuntu et AIX.

Les paquets traitent les problèmes suivants:

• CVE-2022-2031 : les utilisateurs de Samba AD peuvent contourner certaines restrictions associées à la modification des mots de passe.
• CVE-2022-32744 : les utilisateurs de Samba AD peuvent falsifier les demandes de changement de mot de passe pour n'importe quel utilisateur.
• CVE-2022-32745 : les utilisateurs de Samba AD peuvent planter le processus du serveur avec une requête d'ajout ou de modification LDAP.
• CVE-2022-32746 : les utilisateurs de Samba AD peuvent induire un use-after-free dans le processus du serveur avec une requête d'ajout ou de modification LDAP.
• CVE-2022-32742 : fuite d'informations sur la mémoire du serveur via SMB1.

Les premières versions avec les correctifs :

• (SuSE, RedHat, ...):    4.16.3-18, 4.15.8-15 et 4.14.13-16
• Debian/Ubuntu:        4.16.3-18, 4.15.8-16 et 4.14.13-16
• AIX:                              4. 16.3-2,  ; 4.15.8-6  ; et 4.14.13-11

Les paquets avec les versions amont officielles 4.16.4, 4.15.9 et 4.14.14 suivront dans les prochains jours.