Samba-Lücke: Jeder darf jedes Passwort ändern

Das Entwickler-Team macht auf eine fiese Lücke aufmerksam, die jedes als Active Directory Domain-Controller betriebene Samba 4 betrifft. Angemeldete Nutzer können die Passwörter anderer Nutzer einschließlich des Admins ändern.

Seit Samba 4.0 kann Samba als Domain-Controller für ein Active Directory dienen, also ein zentrales Benutzerverzeichnis zur Anmeldung an Netzwerkressourcen bereitstellen, wie das auch Windows-Server seit Windows 2000 tun. Nun haben Mitarbeiter der Göttinger Sernet GmbH entdeckt, dass Samba in dieser Betriebsart beim Überprüfen der Rechte für Passwortänderungen schlampt.

Die am heutigen Dienstag veröffentlichten Samba-Versionen 4.7.6, 4.6.14 und 4.5.16 enthalten Patches, die dieses Problem beheben. Für ältere Versionen gibt es eine spezielle Übersichtsseite für Patches. Von dem Fehler betroffen sein sollen alle Samba-4-Versionen ab 4.0.0.alpha13.

Quelle: Samba-Lücke: Jeder darf jedes Passwort ändern | heise Security