„`html
Zusammenfassung
CVE-2026-4408 ist eine kritische Sicherheitslücke in Samba, die Remote Code Execution (RCE) ermöglicht. Die Schwachstelle betrifft Samba-Dateiserver und klassische Domain Controller, die das Feature „check password script“ mit der Substitutionsvariable %u verwenden. Durch unzureichende Shell-Metazeichen-Escaping können Angreifer beliebige Befehle mit Systemprivilegien ausführen.
Betroffene Systeme
Samba-Installationen mit aktiviertem „check password script“ und %u-Parameter. Besonders kritisch ist die Konfiguration, wenn der samba-dcerpcd-Dienst als Systemdienst läuft. Nicht-Standard-Konfigurationen sind primär gefährdet, da Standard-Deployments diese Funktion typischerweise nicht nutzen.
Technische Details
Das „check password script“-Feature erlaubt externe Passwortvalidierungsskripte. Der Placeholder %u wird durch den vom Client gesendeten Benutzernamen ersetzt. Ohne ordnungsgemäße Escaping-Mechanismen können Shell-Metazeichen (z.B. $, `, |, &, 😉 interpretiert werden und zur Kommando-Injection führen. Ein Angreifer kann manipulierte Benutzernamen mit Shell-Kommandos übermitteln. Diese werden im Kontext des samba-dcerpcd-Prozesses ausgeführt.
Empfohlene Massnahmen
- Sofort: Deaktivieren Sie das „check password script“-Feature, falls nicht erforderlich
- Umgehung: Entfernen Sie %u aus existierenden Scripts und nutzen Sie alternative Validierungsmechanismen
- Netzwerk: Beschränken Sie DCERPC-Zugriff durch Firewall-Regeln
- Monitoring: Überwachen Sie samba-dcerpcd-Prozesse auf verdächtige Aktivitäten
- Patchen: Installieren Sie verfügbare Sicherheitsupdates zeitnah
Bewertung
CVSS 9.0 (Critical): Hohe Netzwerkzugänglichkeit, keine Authentifizierung erforderlich, vollständiger Systemzugriff möglich. Die Gefahr wird durch geringe Voraussetzungen (nicht-Standard-Konfiguration) minimal gemindert. Organisationen mit betroffenen Konfigurationen sollten sofortige Massnahmen einleiten.
„`