CVE-2025-10230
Samba: injeção de comando no script de hook do servidor wins
- Publicado
- 7 de nov. de 2025
- Atualizado
- 31 de ago. de 2026
- Atribuindo CNA
- redhat
- Evidência observada
- 8 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HModerado · próximos 30 dias
- Percentil
- 98,6%
- Data do modelo
- 23 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Foi encontrada uma falha no Samba, no tratamento do hook WINS de front-end: nomes NetBIOS de pacotes de registro são passados para uma shell sem validação ou escape adequados. Dados de nomes NetBIOS não sanitizados de pacotes de registro WINS são inseridos em um comando de shell e executados pelo hook wins do Controlador de Domínio do Active Directory do Samba, permitindo que um atacante de rede não autenticado obtenha execução remota de comandos como o processo Samba.
Fontes
Prova de conceito de exploit para CVE-2025-10230, uma vulnerabilidade de injeção de comando no hook WINS do Samba, demonstrando execução limitada de comandos de 15 caracteres.
- CVE-2025-10230Pesquisa
Vulnerabilidade de injeção de comandos do SO no Samba que recebeu a pontuação máxima possível de 10,0 no CVSS v3.1
CVE-2025-10230 PoC - Injeção de comando no hook WINS do Samba
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.