Badlock (CVE-2016-2118／CVE-2016-0128)についてまとめてみた

2016年4月13日、Samba、およびMicrosoftより、Badlockと呼称されたCVE-2016-2118／CVE-2016-0128を含む複数の脆弱性情報、並びに修正版が公開されました。ここでは関連情報をまとめます。

脆弱性概要

対象	Samba	Microsoft
CVE	CVE-2016-2118	CVE-2016-0128
影響	MITM/DoS	PoE
重要度	−	重要
PoC	公開なし	公開なし
CVSS(v3)	7.1(Base)、6.4(Temp) (Badlock.org評価)	−
発見者	Stefan Metzmacher氏	Stefan Metzmacher氏

脆弱性情報

CERT/CC	Vulnerability Note VU#813296 Microsoft Windows and Samba may allow spoofing of authenticated users ("Badlock")
US-CERT	Samba Security Updates Address Badlock Vulnerabilities
JPCERT/CC,IPA	JVNVU#92232364 Microsoft Windows および Samba の認証機能に脆弱性 ("Badlock")

脆弱性の説明

Badlock Bug

What can attackers gain?
The security vulnerabilities can be mostly categorised as man-in-the-middle or denial of service attacks.
http://badlock.org/

Samba:SAMR and LSA man in the middle attacks possible

A man in the middle can intercept any DCERPC traffic between a client and a server in order to impersonate the client and get the same privileges as the authenticated user account.
This is most problematic against active directory domain controllers.
https://www.samba.org/samba/security/CVE-2016-2118.html

Microsoft:マイクロソフトセキュリティ情報 MS16-047 - 重要 SAM および LSAD リモートプロトコル用のセキュリティ更新プログラム (3148527)

セキュリティアカウントマネージャー (SAM) およびローカルセキュリティ機関 (ドメインポリシー) (LSAD) リモートプロトコルには、これらのプロトコルを適切に保護しない認証レベルを受け入れる場合、特権の昇格の脆弱性が存在します。この脆弱性は、SAM および LSAD リモートプロトコルがリモートプロシージャコール (RPC) チャネルを確立する方法が原因で起こります。この脆弱性を悪用した攻撃者は、SAM データベースにアクセスできるようになる可能性があります。
https://technet.microsoft.com/library/security/MS16-047

その他Badlockに関連する脆弱性は次の通り。

CVE	概要
CVE-2015-5370	Multiple errors in DCE-RPC code
CVE-2016-2110	Man in the middle attacks possible with NTLMSSP
CVE-2016-2111	NETLOGON Spoofing Vulnerability
CVE-2016-2112	LDAP client and server don't enforce integrity
CVE-2016-2113	Missing TLS certificate validation
CVE-2016-2114	"server signing = mandatory" not enforced
CVE-2016-2115	SMB IPC traffic is not integrity protected