Una vulnerabilidad crítica en Samba, que afecta a todas las versiones, permitiría a atacantes ejecutar remotamente cualquier pieza de código en el demonio de Samba, el problema ya fue corregido.

Samba es una implementación de código abierto del protocolo SMB/CIFS para compartir archivos a través de la red, permite a un servidor que no usa Windows comunicarse con el mismo protocolo de red que los productos de esta marca. Samba es soportado por muchos sistemas operativos, incluyendo Windows 95/98/NT, OS/2 y Linux.

De acuerdo al equipo de desarrollo de Samba, la vulnerabilidad (CVE-2015-0240) reside en el programa smbd que permite compartir archivos y servicios de impresión a clientes que utilizan el protocolo SMB/CIFS.

El equipo de desarrollo descubrió que la vulnerabilidad permite a un cliente malicioso enviar paquetes que podrían liberar memoria de manera consecutiva en un paquete anónimo de netlogon, ocasionando la ejecución inesperada de código aleatorio. En algunos casos se requieren privilegios del usuario administrador que son automáticos y no requieren autenticación.

Esta vulnerabilidad afecta a todas las versiones de Samba, desde la versión estable más vieja, la 3.5.0, hasta la versión en desarrollo, la 4.2.0.

El quipo de Red Hat publicó un análisis detallado de la vulnerabilidad en donde se explica que las versiones 5 a la 7 de Red Hat Enterprise Linux se ven afectadas, así como las versiones 2.1 y 3 de Red Hat Storage Server. Otras distribuciones de Linux también han publicado alertas de seguridad por esta vulnerabilidad.

La falla ya fue corregida y la nueva versión de Samba, 4.1.17, está disponible para descarga por lo que se invita a los administradores de sistemas a actualizar cuanto antes.

El crédito por el descubrimiento de la falla es para el investigador de vulnerabilidades Richard Van Eeden, quien trabaja para Microsoft y que fue quien proporcionó el parche para corregir la falla.

Mientras tanto, otras distribuciones de Linux, incluyendo Ubuntu, Debian y Suse, han liberado paquetes de actualización en sus repositorios.