Badlock (CVE-2016-0128, CVE-2016-2118) — ошибка в протоколе SMB/CIFS. Краткая информация об уязвимости была опубликована 24 марта 2016 годаУязвимость Badlock обнаружена почти во всех версиях Windows и Samba / Xakep, 2016-03-24, подробная информация и исправления — 12 апреля. Ошибка была обнаружена как в свободной реализации протокола (Samba 3.6-4.4), так и в Windows (CVE-2016-0128, MS16-047). Также присутствует в ряде решений, основанных на Samba.
Атака реализуется посредником (MITM), который, используя DCERPC-запросы, снижает версию протокола MS-SAMR/MS-LSAD и переключает работу на слабозащищенный вариант авторизации. Была обнаружена полная незащищенность протоколов DCERPC.
История Уязвимость Badlock нашел сотрудник компании SerNet и член команды Samba Core Team Стефан Метцмахер (Stefan Metzmacher) в июле 2015 года. 31 июля 2015 об ошибке сообщили в Microsoft, в сентябре проведена встреча, затем был согласован срок раскрытия информации.
24 марта была опубликована краткая информация об ошибке.
Разработка исправлений велась на протяжении нескольких месяцев, потребовалось внести более 200 патчей в проект Samba.
Публичное раскрытие информации произведено 12 апреля 2016 года. В тот же день вышли исправленные версии программ и обновления для Windows. Проект Samba выпустил исправленные версии 4.4.2, 4.3.8 и 4.2.11; исправления для более ранних версий — с 3.6 до 4.1 включительно — проектом не выпускались по причине окончания срока поддержки. Исправления для ряда более ранних версий подготовили дистрибьюторы ОС с длительными сроками поддержки, инженеры SUSE, RedHat и SerNet исправили версии 3.6, 3.4, 4.0.
Microsoft выпустила обновление 3148527 и другие в рамках MS16-047 для операционных систем с Windows Vista до Windows 10 включительно, Server 2008, 2012 а также Core.
Уязвимость получила оценку по шкале CVSS в 7.1/6.4 баллов из 10.
Широкая маркетинговая кампания уязвимости подверглась критике, первоначальные сообщения не исключали удаленного исполнения кода, но некоторые СМИ сочли, что на самом деле ошибка лишь позволяет атаку посредника против сервисов общих файлов и печати. Запоминающееся название, отдельный сайт, внимание СМИ, красивые картинки по отдельным мнениям отвлекают внимание пользователей и администраторов от по-настоящему опасных уязвимостей, в том числе исправленных одновременно с badlock, как в продуктах Microsoft, так и в Adobe Flash.
Примечания
Ссылки
CVE-2016-2118 / NVD
Уязвимость Badlock обнаружена почти во всех версиях Windows и Samba / Xakep, 2016-03-24 Chris Williams, Bug hype haters gonna hate hate hate: Badlock flaw more like Sadlock. Windows, Samba vulnerability needs patching — but don’t panic / The Register, 12 Apr 2016
Категория:Ошибки программирования Категория:Уязвимости защиты