概述

Samba是在Linux和UNIX系統(tǒng)上實(shí)現(xiàn)SMB協(xié)議的一個(gè)軟件。2017年5月24日Samba發(fā)布了4.6.4版本，中間修復(fù)了一個(gè)嚴(yán)重的遠(yuǎn)程代碼執(zhí)行漏洞，漏洞編號(hào)CVE-2017-7494，漏洞影響了Samba 3.5.0 之后到4.6.4/4.5.10/4.4.14中間的所有版本。360網(wǎng)絡(luò)安全中心 和 360信息安全部的Gear Team第一時(shí)間對(duì)該漏洞進(jìn)行了分析，確認(rèn)屬于嚴(yán)重漏洞，可以造成遠(yuǎn)程代碼執(zhí)行。
 

漏洞簡(jiǎn)述

漏洞編號(hào)：CVE-2017-7494

危害等級(jí)：嚴(yán)重

影響版本：Samba 3.5.0 和包括4.6.4/4.5.10/4.4.14中間版本

漏洞描述：2017年5月24日Samba發(fā)布了4.6.4版本，修復(fù)了一個(gè)嚴(yán)重的遠(yuǎn)程代碼執(zhí)行漏洞，該漏洞影響了Samba 3.5.0 之后到4.6.4/4.5.10/4.4.14中間的所有版本。

技術(shù)分析

如官方所描述，該漏洞只需要通過(guò)一個(gè)可寫(xiě)入的Samba用戶權(quán)限就可以提權(quán)到samba所在服務(wù)器的root權(quán)限（samba默認(rèn)是root用戶執(zhí)行的）。

從Patch來(lái)看的話，is_known_pipename函數(shù)的pipename中存在路徑符號(hào)會(huì)有問(wèn)題：

再延伸下smb_probe_module函數(shù)中就會(huì)形成公告里說(shuō)的加載攻擊者上傳的dll來(lái)任意執(zhí)行代碼了：

具體攻擊過(guò)程：

構(gòu)造一個(gè)有’/’ 符號(hào)的管道名或路徑名，如 “/home/toor/cyg07.so”

通過(guò)smb的協(xié)議主動(dòng)讓服務(wù)器smb返回該FID

后續(xù)直接請(qǐng)求這個(gè)FID就進(jìn)入上面所說(shuō)的惡意流程

具體攻擊結(jié)果如下：

1.嘗試加載　“/home/toor/cyg07.so” 惡意so

2.其中so 代碼如下(加載時(shí)會(huì)調(diào)用　samba_init_module 導(dǎo)出函數(shù))

3.最后我們可以在/tmp/360sec中看到實(shí)際的執(zhí)行權(quán)限(帶root權(quán)限)

PoC

暫不公開(kāi)
 

解決方案

360網(wǎng)絡(luò)安全響應(yīng)中心和360信息安全部建議使用受影響版本的用戶立即通過(guò)以下方式來(lái)進(jìn)行安全更新操作，

1.使用源碼安裝的Samba用戶，請(qǐng)盡快下載最新的Samba版本手動(dòng)更新；

2.使用二進(jìn)制分發(fā)包（RPM等方式）的用戶立即進(jìn)行yum，apt-get update等安全更新操作；

緩解策略：用戶可以通過(guò)在smb.conf的[global]節(jié)點(diǎn)下增加　nt pipe support = no 選項(xiàng)，然后重新啟動(dòng)samba服務(wù)， 以此達(dá)到緩解該漏洞的效果。