• Mecanismo de Vulnerabilidad: Cuando se recibe un paquete de registro WINS, el nombre NetBIOS del paquete se inserta directamente en un comando shell que ejecuta el proceso de Samba. No se realiza ninguna validación ni escape sobre el nombre NetBIOS, que puede tener hasta 15 caracteres y puede incluir metacaracteres de shell.
• Vector de Ataque: Un atacante envía un paquete de registro WINS especialmente diseñado al puerto UDP 137 que contiene un nombre NetBIOS con metacaracteres de shell (como ;, |, &, o comillas invertidas). El código shell inyectado se ejecuta con los privilegios del proceso de Samba, a menudo root.
• Causa Raíz: Falta de saneamiento de entrada para el campo de nombre NetBIOS antes de pasarlo a un comando shell (CWE-78: Inyección de Comandos del Sistema Operativo).
• Configuración Afectada: Solo los servidores Samba que actúan como Controladores de Dominio de Active Directory con 'wins support = yes' y un parámetro 'wins hook' no vacío en smb.conf son vulnerables. La configuración por defecto no está afectada.

Cálculo CVSSv3

Disponibilidad del Parche

Se han publicado parches que abordan este problema en:

Además, se han emitido Samba 4.23.2, 4.22.5 y 4.21.9 como versiones de seguridad para corregir el defecto. Se recomienda a los administradores de Samba actualizar a estas versiones o aplicar el parche lo antes posible.

Vector de Ataque (Resumen Técnico)

1. El atacante elabora un paquete de registro del Servicio de Nombres NetBIOS (NBNS)
2. El nombre contiene caracteres de payload dentro del límite permitido de ≤15 caracteres
3. Samba recibe la solicitud WINS en el puerto 137/UDP
4. El manejador wins hook se ejecuta con entrada sin sanear
5. El payload se ejecuta con los privilegios del demonio de Samba (a menudo root)

Restricciones

• Los nombres NetBIOS no pueden contener < > ;
• El tamaño del payload debe ser ≤ 15 caracteres
• La inyección se produce a través de argumentos posicionales

Ejemplos de comandos que se ejecutan correctamente:

directorio: /etc/samba/smb.conf

Uso del PoC

Ejemplo 192.168.0.10 (Servidor Samba) | bin (Mostrar directorio) | 192.168.0.50 (lo que sea)

Estructura del Repositorio

Autor y Contacto