Опубликованы корректирующие выпуски пакета Samba 4.17.2, 4.16.6 и 4.15.11 с устранением двух уязвимостей. Выпуск обновлений пакетов в дистрибутивах можно проследить на страницах: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD.

CVE-2022-3437 - переполнение буфера в функциях unwrap_des() и unwrap_des3(), предоставляемых в библиотеке GSSAPI из пакета Heimdal (поставляется в составе Samba, начиная с версии 4.0). Эксплуатация уязвимости возможна через отправку специально оформленного пакета на системы, в которых используется GSSAPI. Например проблема проявляется в реализации клиента и файлового сервера на базе протокола SMB1, при применении DCE/RPC и в контроллере домена Active Directory. Системы собранные с MIT Kerberos (–with-system-mitkrb5) вместо Heimdal проблеме не подвержены.

CVE-2022-3592 - возможность выхода за границы экспортируемого каталога и доступа к любому файлу на сервере через манипуляции с символическими ссылками. Проблема проявляется только в ветке Samba 4.17 и вызвана ошибкой в новом коде для обработки символических ссылок в пространстве пользователя (в коде отсутствовала проверка нахождения целевого каталога ссылки за границей экспортируемого каталога). Уязвимость может быть эксплуатирована клиентом, имеющим доступ на запись в экспортируемый раздел, предоставляемый через протоколы SMB1 или NFS, допускающие создание символических ссылок.

>>> Источник: OpenNet, лицензия «CC-BY»

Разработчики проекта Fedora наметили план отключения поддержки цифровых подписей на основе алгоритма SHA-1 в Fedora Linux 39. Отключение предполагает прекращение доверия к подписям, в которых используются хэши SHA-1 (в качестве минимально поддерживаемого в цифровых подписях будет заявлен SHA-224), но сохранение поддержки HMAC с SHA-1 и предоставлении возможности включить LEGACY-профиль с SHA-1. После применения изменений библиотека OpenSSL по умолчанию начнёт блокировать генерацию и проверку подписей с SHA-1.

Отключение планируется провести в несколько этапов: В Fedora Linux 36 подписи на основе SHA-1 будут исключены из политики «FUTURE», предоставлена тестовая политика TEST-FEDORA39 для отключения SHA-1 по желанию пользователя (update-crypto-policies –set TEST-FEDORA39), при создании и верификации подписей на основе SHA-1 в логе будут отображаться предупреждения. В процессе подготовки выпуска Fedora Linux 38 до формирования бета-версии в репозитории rawhide будет применена политика, запрещающая использование подписей на основе SHA-1, но в бета-выпуске и релизе Fedora Linux 38 это изменение применяться не будет. В выпуске Fedora Linux 39 политика с прекращением поддержки подписей на основе SHA-1 будет применена по умолчанию.

Предложенный план пока не рассмотрен комитетом FESCo (Fedora Engineering Steering Committee), отвечающим за техническую часть разработки дистрибутива Fedora. Прекращение поддержки подписей на основе SHA-1 обусловлено повышением эффективности коллизионных атак с заданным префиксом (стоимость подбора коллизии оценивается в несколько десятков тысяч долларов). В браузерах сертификаты, заверенные с использованием алгоритма SHA-1, помечаются как незащищённые с середины 2016 года.

>>> Подробности на сайте Fedora