CVE-2025-10230
Samba: inyección de comandos en el script de hook del servidor WINS
- Publicado
- 7 nov 2025
- Actualizado
- 31 ago 2026
- Asignación de CNA
- redhat
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HModerado · próximos 30 días
- Percentil
- 98,6 %
- Fecha del modelo
- 23 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Se encontró una vulnerabilidad en Samba, en el manejo del hook WINS de interfaz: los nombres NetBIOS de los paquetes de registro se pasan a un shell sin la validación o el escape adecuados. Los datos de nombres NetBIOS no saneados de los paquetes de registro WINS se insertan en un comando de shell y son ejecutados por el hook WINS del Controlador de Dominio de Active Directory de Samba, permitiendo a un atacante de red no autenticado lograr la ejecución remota de comandos como el proceso de Samba.
Fuentes
Prueba de concepto del exploit para CVE-2025-10230, una vulnerabilidad de inyección de comandos en el hook WINS de Samba, que demuestra la ejecución limitada de comandos de 15 caracteres.
- CVE-2025-10230Investigación
Vulnerabilidad de inyección de comandos del sistema operativo en Samba que recibió la puntuación máxima posible de CVSS v3.1 de 10.0
CVE-2025-10230 PoC - Inyección de comandos en el hook WINS de Samba
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.