„`html
Zusammenfassung
CVE-2026-3238 beschreibt eine Denial-of-Service (DoS) Schwachstelle in der WINS-Serverkomponente von Samba, wenn diese als Active Directory Domain Controller betrieben wird. Durch unzureichende Validierung von UDP-Paketen können unauthentifizierte Angreifer aus dem Netz einen NULL-Pointer-Dereference auslösen und den WINS-Service zum Absturz bringen. Die Schwachstelle wird mit CVSS 7.5 als High-Risk eingestuft.
Betroffene Systeme
Die Schwachstelle betrifft Samba-Installationen, die als Active Directory Domain Controller konfiguriert sind. Besonders kritisch sind Umgebungen, bei denen der WINS-Service (TCP/UDP Port 137) aus dem Internet erreichbar ist oder in untrusted Netzwerkbereichen läuft. Eine genaue Versionsangabe ist derzeit nicht verfügbar.
Technische Details
Die WINS-Protokoll-Handler führen bei der Verarbeitung bestimmter Request-Typen keine ausreichende Validierung der eingehenden Pakete durch. Speziell präparierte UDP-Pakete können zu einem NULL-Pointer-Dereference führen, wodurch der WINS-Service (wins.exe/winbindd) abstürzt. Der Angriff erfordert keine Authentifizierung und kann aus dem Netzwerk durchgeführt werden.
Empfohlene Massnahmen
- Netzwerk-Segmentierung: WINS-Port (UDP 137) sollte nicht aus untrusted Netzwerken erreichbar sein
- Firewall-Regeln: Beschränkung des Zugriffs auf WINS-Services auf autorisierte Clients
- Monitoring: Ãœberwachung auf abnormale WINS-Anfragen und Service-Neustarts
- Patch-Management: Fortlaufende Überprüfung auf verfügbare Samba-Updates
- Alternative: Evaluierung der Notwendigkeit von WINS in modernen AD-Umgebungen
Bewertung
Die Schwachstelle stellt ein erhebliches Verfügbarkeitsrisiko dar. Da kein Patch verfügbar ist, sollten organisatorische und technische Kontrollen zur Minderung der Angriffsrisiken priorisiert werden. Besonders kritisch sind DC-Systeme mit hoher Verfügbarkeitsanforderung.
„`