Алексе́й Ве́дающий Эгре́горы (donnightman) wrote,
Алексе́й Ве́дающий Эгре́горы
donnightman

Category:

Внимание!!! Linux-версия эксплойта EternalBlue! Критическая уязвимость SambaCry!!! Кто следующий?!?

В сетевом программном обеспечении Samba обнаружена критическая уязвимость 7-летней давности, обеспечивающая возможность удалённого выполнение кода. Эта брешь может позволить злоумышленнику взять под контроль уязвимые машины Linux и Unix.


Samba — это программное обеспечение с открытым исходным кодом (иная реализация сетевого протокола SMB), которое работает в большинстве доступных сегодня операционных систем, включая Windows, Linux, UNIX, IBM System 390 и OpenVMS.
Samba позволяет другим операционным системам, отличным от Windows, таким как GNU / Linux или Mac OS X, совместно использовать общие сетевые папки, файлы и принтеры с операционной системой Windows.

Недавно обнаруженная уязвимость удаленного выполнения кода (CVE-2017-7494) затрагивает все версии новее, чем Samba 3.5.0, которая выпущена 1 марта 2010 года.
«Все версии Samba, начиная с 3.5.0, подвержены уязвимости удаленного запуска кода, позволяя злоумышленникам загружать библиотеку совместного использования в доступный для записи общий ресурс, чтобы затем заставить сервер выполнить вредоносный код», — сообщила компания Samba в среду.

Давайте взглянем на историю уязвимости, которая дала путь эксплойту EternalBlue:
25 октября 2001 г: Microsoft выпускает операционную систему Windows XP, которая стала одной из самых успешных проектов компании. Она содержит критическую уязвимость (о которой никто не знает), которая позже передалась всем будущим версиям операционной системы.

14 марта 2017 г: Microsoft опубликовал обновление, которое устраняет данную уязвимость S17-010.

14 апреля 2017 г: Группа Shadow Brokers опубликовала эксплойт EternalBlue из состава кибер-арсенала АНБ, который позволяет эксплуатировать данную уязвимость.

12 мая 2017 г: Появился WannaCry – сетевой червь, который использует EternalBlue для распространения и запуска шифровальщика на скомпрометированных компьютерах.


WannaCry сумел привлечь внимание всех без исключения, однако это не первая атака, в рамках которой использовался эксплойт EternalBlue, и, возможно, далеко НЕ последняя!!!

По данным поисковой машины Shodan,
Найдено более 485 000 компьютеров с поддержкой Samba и открытым портом 445. По данным исследователей из Rapid7, более 104 000 компьютеров с открытым портом используют уязвимые версии Samba, причём 92 000 с неподдерживаемыми версиями Samba!!!

Поскольку Samba — это SMB протокол, реализованный в системах Linux и UNIX, некоторые эксперты говорят об этом, как о «версии EternalBlue для Linux» или даже SambaCry.

Учитывая количество уязвимых систем и простоту использования этой уязвимости, недостаток Samba может стать новой масштабной проблемой. Домашние сети с подключенными к сети устройствами хранения (NAS) также в зоне риска.

Код эксплойта
опубликован.
Этот эксплойт может быть легко использован преступниками. Для выполнения вредоносного кода в поражённой системе требуется всего одна строка кода.
Код:

simple
.create_pipe("/path/to/target.so")

Эксплойт Samba уже перенесен на платформу Metasploit Framework, что позволяет исследователям и хакерам легко его изучить.

Как защититься?
В новых версиях Samba 4.6.4 / 4.5.10 / 4.4.14 эта проблема уже исправлена. Настоятельно рекомендуется тем, кто использует уязвимую версию, установить патч как можно скорее.
Но если вы не можете сразу обновиться до последних версий, обойти эту уязвимость, можно добавив следующую строку в свой файл конфигурации smb.conf:
Код:

nt pipe support = no

После перезапустите SMB daemon (smbd). На этом — всё. Это изменение не позволит получить полный доступ к сетевым машинам, а также отключит некоторые функции для подключенных Windows-систем.

Заблокировать возможность осуществления атаки можно с помощью политик SELinux — к примеру, конфигурация RHEL по-умолчанию не позволяет злоумышленникам эксплуатировать уязвимость в Samba.
Red Hat и Ubuntu, уже выпустили исправленные версии для своих пользователей. Однако, риск заключается в том, что пользователи сетевых хранилищ (NAS) не обновляются так быстро.

Крейг Уильямс (Craig Williams) из Cisco сказал, что, учитывая тот факт, что большинство NAS-устройств запускают Samba и хранят очень ценные данные, эта уязвимость «может стать первым крупномасштабным червем Ransomware для Linux».

Позднее разработчики Samba также предоставили патчи для более старых и неподдерживаемых версий Samba.

Между тем, Netgear выпустил рекомендации по безопасности для CVE-2017-7494, заявив, что большое количество их маршрутизаторов и NAS-устройств подвержены уязвимости из-за использования Samba версии 3.5.0 или более поздней. В настоящее время компания выпустила исправления только для продуктов ReadyNAS под управлением OS 6.x.

Эта масштабная проблема затрагивает, в том числе, NAS-серверы Synology.

Во многих домашних роутерах Samba используется для организации общего доступа к USB-устройствам — причем, как правило в таких случаях таким девайсам открываются права на запись. Поэтому, если производители сетевого оборудования в своих прошивках использовали уявзимую версию Samba, то это открывает широкие возможности по проведению атак, например, для создания ботнетов.

Для снижения рисков успешной атаки с помощью этой ошибки специалисты компании рекомендуют устанавливать общим папкам права лишь на чтение, но не на запись файлов. Кроме того, рекомендуется проанализировать права доступа к сетевым папкам, оставив права на чтение и запись из них только для определенных доверенных пользователей.
Источники:
habrahabr, habrahabr

Вывод: Нет полностью защищённых систем. Есть неинтересные для взломщиков и непопулярные ОС. 95% всех систем WINDOWS...
Это далеко не первая уязвимость в *nix, но у неё могут быть весьма обьёмные масштабы и последствия намного заметнее и плачевнее...
Думаю следующая будет Dirty COW, а ведь на ней основан Android.....
Холивар великий чую я...

Linux forever! А если Самба кому ну прям очень и очень сильно нужна, то доступ к ней надо делать через туннель... Пользуйтесь FTP с ключами / сертификатами и будет вам счастье!!!

И поставьте антивирус Dr.Web для Linux!!!

380.66_4 (26-May-2017)
- CHANGED: Updated dropbear to 2017.75
- FIXED: Security issue CVE-2017-7494 in Samba.


Так защититься:
Код

iptables -P INPUT DROP
ip6tables -P INPUT DROP


НАСТОЙЧИВО РЕКОМЕНДУЮ ВСЕМ (в том числе пользователям всех систем WINDOWS) проверить открытые или нет сетевые порты по ссылкам:
1. ссылка

2. Безопасность Вашего компьютера!!!
Для этого просто нажмите на кнопку "Проверить" ниже и подождите результата. В зависимости от скорости вашего интернет соединения, тест может занять некоторое время, наберитесь терпения.

Рекомендация: Как закрыть или открыть порты в Windows


Я очень жду Ваших комментариев, а если материал показался Вам интересным, Вы можете помочь с его распространением. Вы можете поддержать пост и поделится информацией с друзьями: нажав кнопку РЕПОСТ и/или на кнопки других лайков в соц. сетях.


873366042

Любая помощь проекту — это добрый шаг с Вашей стороны, Вы становитесь хотя бы немного, но соавтором проекта и непосредственным образом влияете на его дальнейшее развитие! Если Вы хотите поддержать блог, вот счет на любую сумму, для платного продвижения его материалов:

Искренне Благодарствую Вам, Милостивые Государи и Милостивые Государыни!!!
Желаю Вам Всем выращивать в Душе своей, в самом светлом её уголке, все такие самые прекрасные цветы, как Добродетель, Скромность, Честность, Справедливость и Любовь. Тогда каждый из ЛЮДЕЙ сможет здесь, в этом Прекрасном Мире, украсить своё окошко милым горшочком с великолепными цветами.
Subscribe

  • Мои твиты

    Сб, 15:45: RT @ theRealKiyosaki: Hooray. Bitcoin rising above $60,000. Future very bright. Celebrate yet be cautious. I am waiting for a pull…

  • Мои твиты

    Пт, 16:09: RT @ danielkennedy74: @ GovParsonMO Sir, as someone with 20 years in on cybersecurity issues, I can't stress to you enough the need…

  • Мои твиты

    Пт, 04:03: RT @ InfoSecHotSpot: Long Beach tests traffic lights that respond to real-time congestion https://t.co/etGKrATHOj…

Buy for 10 tokens
Buy promo for minimal price.
  • Post a new comment

    Error

    Anonymous comments are disabled in this journal

    default userpic

    Your reply will be screened

    Your IP address will be recorded 

  • 0 comments