Publikussá váltak a Badlock részletei

Titkosítás, biztonság, privát szféra

Március végén jött a hír, hogy a Samba fejlesztői csapat kritikus biztonsági hibát fedezett fel a Windowsban és a Samba-ban. A biztonsági hiba részleteit április 12-ig, azaz a mai napig visszatartották. Ma azonban a részletek elérhetővé váltak. Megtalálhatók a badlock.org-on. Samba CVE hibajegy itt.

Azért a 4.2-es ágra váltást én a helyükben mondjuk egy hete megléptem volna, különösen a DC-knél hozott elég sok változást (legtöbb embernél a winbindd DC-re való visszahozatala tört el dolgokat).

Ha lenne apt repó még ki is próbálnám, van itt a környezetemben egy rugdosható két DC-s + OpenChange-s (ezekkel lesz szívás, a 2.3-at még ugye a 4.1-hez készítették, a 4.2-ben lezártak néhány API-t a Samba fejlesztők, amit az OC-sek használtak, elvileg dolgoznak rajta, de az szerintem max. a következő releaseben lesz, addig marad minden OpenChange a 4.1-en, amire nem tudom, mikorra backportolják a fixet) rendszer.

BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)

Most már a jessie-updates-ben ott van...

Tapasztalatok eddig:
* Replikáció megy a 4.1-es OC-s Samba és a 4.2-es Sambák között
* SSL nélküli sima bind-ot a 4.2 elküldi (SOGo, Postfix és Dovecot futott bele).
* A Java-s Apache LDAP klienst egyelőre nem sikerült rávennem, hogy csatlakozzon (GSSAPI SASL bind, SSL felett és anélkül egyaránt kap egy Sign or Seal required, egyelőre az beszélget a 4.1-el)

Update 1:
* A DC-ken a korábbi sudoers fájlt szerkesztenem kellett, a domainból jövő csoport az új winbind miatt új nevett kapott (korábban DOMAINNETBIOSNÉV\csoport, most simán csoport)

Update 2:
* A Java-s LDAP kliens témára a megoldás az ldap server require strong auth = allow_sasl_over_tls és TLS egy megoldás.

Update 3:
* Úgy tűnik az Openchange is valamennyire túléli az update-t, de kell neki egy tls verify peer = ca_and_name a samba config-ba, ha az alapértelmezetten generált TLS certet használja a Samba.

Update 4:
* Az OpenChange-es RPC Proxy (~Outlook Anywhere) eltört, logokban Python hibák, kliens nem kapcsolódik.

BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)

( persicsb | 2016. 04. 13., sze – 09:44 )

Logo, név, weboldal. Minden rendben :)

"What does "Badlock" stand for?

"Badlock" was meant to be a rather generic name and does not point to any specifics."

És hatékony volt, mindenki a lock.c-t nézegette, mert valamikor a kétezres évek elején Metze egyszer hozzányúlt :) Viszont a logó, a név és a weboldal miatt közismert volt, nem csak egy a sok CVE közül.

BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)