Podrobnosti o bezpečnostní chybě Badlock zveřejněny

Dle plánu (zprávička) byly zveřejněny podrobnosti o závažné bezpečnostní chybě ve Windows i v Sambě Badlock. Chyba je opravena v Sambě ve verzích 4.4.2, 4.3.8 a 4.2.11.

12.4.2016 20:49 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Mäsiar]

debian nema zaplatu ? ako zistim ci moja 3.6.6 to uz ma opravene ?

[R]

Zatial nema.

[MP]

Dle badlock.org je oficialni oprava pouze pro podporovane verze samby, tzn. 4.2 a vyse. Takze nizsi verze jsou v libovuli distribuci, ktere je distribuji.

[Tassadar]

Vzhledem k počtu commitů (2 stránky začínají na CVE) se nejedná zrovna o one-line-fix (nebo berou security by obscurity fakt vážně..), maintainerům může chvilku trvat, než to vyluští. Škoda, že taky nepopsali, co se tam vlastně jako dělo :/

[MP]

Trochu laictejsi popis je tu http://arstechnica.com/security/2016/04/yes-badlock-bug-was-shamelessly-hyped-but-the-threat-is-real/

[R]

Uz je 2:3.6.6-6+deb7u9. Uvidime, kolko bude regresii a dalsich oprav...

[timeos]

podobny update pre samba 3.6.23 spravili aj pre RHEL6/Centos6. avsak po aplikacii opraveneho balika (2.6.23-30) prestali fungovat trusted relationship medzi domain klientmi a kontrolerom (klasicka NT4-compatible domena s LDAP backendom) a nefungovali niektorym ludom ani shary.
tusim je to prvy krat co sa to takto dokazilo po upgrade. takze rollback (na 2.6.23-25) a cakam na opravu opravy :) a zvazujem bugreport.

[Conscript89]

Myslis https://bugzilla.redhat.com/show_bug.cgi?id=1316298? Ja se teda v sambe nevyznam, ale zkusil jsem ten bug najit :)

[timeos]

podla tych malo informacii to celkom moze byt related. taktiez je to jediny open ticket pre sambu v RHEL6 :). diky

[MP]

To je zajimavy, ze v Debian Jessie nahradili verzi 4.1x za 4.2x ...A pak, ze to nedelaji.

[Michal Kubeček]

Zkuste si těch 213 commitů backportovat do větve 4.1 a třeba vám to pak bude připadat méně "zajímavé".

[Ivan2]

Takovehle chyby davaji slovu "stabilni" uplne jiny vyznam.

[NN]

Jezis, kdo by to cekal, uplne zbytecne drama.. aka jasbug "druhe kolo". Zadny remote exploit, jenom dalsi z mnoha 'flaw by design' starych M$ protokolu.

[Petr Tomášek]

...Network protections that could be used MITM attacks include DHCP snooping, ARP Inspection and 802.1x...

LOOOOOOOL

[Mäsiar]

???

[Jooky (inactive)]

Ani jedno ta nechrani pred MITM utokom a 802.1x je viac otrava pre ludia ako realna ochrana ...

[Cabrón]

*sigh* takže vážně teď budou některý bugy mít vlastní doménu a branding?

[Filip Jirsák]

Jak se nedávno soutěžilo o spoustu nových TLD a teď se postupně zavádějí do provozu, TLD .bug mezi nimi nebyla, že? Chyba chyba…