КиберосноваSGRC
BDU:2018-00368
Высокий

BDU:2018-00368: Уязвимость сервера LDAP пакета программ сетевого взаимодействия Samba, позволяющая нарушителю изменять пароли других пользователей

CVSS v37.4
CVSS v29.0
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2018-00368

Описание

Уязвимость сервера LDAP пакета программ сетевого взаимодействия Samba, настроенного как контроллер домена Active Directory, связана с недостатками механизма авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, изменять пароли других пользователей

Что делать с BDU:2018-00368

Высокая уязвимость (CVSS 7.4) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
7.4Высокий
Пересчитать →
v2
9.0
Только просмотр
AV:A/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:HAV:N/AC:L/Au:S/C:C/I:C/A:C

CWE — тип уязвимости

CWE-863

CVE — международный идентификатор

CVE-2018-1057
CWE-863
Некорректная авторизация

Механизм авторизации реализован с ошибкой. Позволяет доступ к чужим данным или привилегированным функциям.

Как атакуют и что делать ▾

Сценарий атаки

Авторизация проверяется, но с ошибкой: IDOR — пользователь меняет /api/order/123 на /api/order/456 и видит чужой заказ.

Последствия

Доступ к чужим данным, горизонтальное повышение привилегий.

Рекомендации

Проверяйте владельца ресурса на сервере, используйте UUID вместо sequential ID.

Тактики и техники

Нарушение авторизации

Уязвимое ПО (125)

ВендорНазваниеВерсияПлатформа
Samba TeamSamba4.0.0Не указана
Samba TeamSamba4.0.1Не указана
Samba TeamSamba4.0.10Не указана
Samba TeamSamba4.0.11Не указана
Samba TeamSamba4.0.12Не указана
Samba TeamSamba4.0.13Не указана
Samba TeamSamba4.0.14Не указана
Samba TeamSamba4.0.15Не указана
Samba TeamSamba4.0.16Не указана
Samba TeamSamba4.0.17Не указана
Samba TeamSamba4.0.18Не указана
Samba TeamSamba4.0.19Не указана
Samba TeamSamba4.0.2Не указана
Samba TeamSamba4.0.20Не указана
Samba TeamSamba4.0.21Не указана
Samba TeamSamba4.0.22Не указана
Samba TeamSamba4.0.23Не указана
Samba TeamSamba4.0.24Не указана
Samba TeamSamba4.0.3Не указана
Samba TeamSamba4.0.4Не указана
Samba TeamSamba4.0.5Не указана
Samba TeamSamba4.0.6Не указана
Samba TeamSamba4.0.7Не указана
Samba TeamSamba4.0.8Не указана
Samba TeamSamba4.0.9Не указана
Samba TeamSamba4.1Не указана
Samba TeamSamba4.1.1Не указана
Samba TeamSamba4.1.10Не указана
Samba TeamSamba4.1.11Не указана
Samba TeamSamba4.1.12Не указана
Samba TeamSamba4.1.13Не указана
Samba TeamSamba4.1.14Не указана
Samba TeamSamba4.1.15Не указана
Samba TeamSamba4.1.16Не указана
Samba TeamSamba4.1.17Не указана
Samba TeamSamba4.1.18Не указана
Samba TeamSamba4.1.19Не указана
Samba TeamSamba4.1.2Не указана
Samba TeamSamba4.1.20Не указана
Samba TeamSamba4.1.21Не указана
Samba TeamSamba4.1.22Не указана
Samba TeamSamba4.1.23Не указана
Samba TeamSamba4.1.3Не указана
Samba TeamSamba4.1.5Не указана
Samba TeamSamba4.1.6Не указана
Samba TeamSamba4.1.7Не указана
Samba TeamSamba4.1.8Не указана
Samba TeamSamba4.1.9Не указана
Samba TeamSamba4.2Не указана
Samba TeamSamba4.2.0 Rc1Не указана

Показано 50 из 125

Среды функционирования (4)

ВендорНазваниеВерсияПлатформа
ООО «РусБИТех-Астра»Astra Linux Common Edition2.12 «Орёл»Не указана
АО «НТЦ ИТ РОСА»РОСА Кобальт-Не указана
АО «НТЦ ИТ РОСА»ROSA Fresh-Не указана
АО «НТЦ ИТ РОСА»РОСА RED-Не указана

Рекомендации по устранению

Использование рекомендаций: Для Samba: https://www.samba.org/samba/security/CVE-2018-1057.html Для Astra Linux: Обновление программного обеспечения (пакета samba) до 2:4.5.12+dfsg-2+deb9u1 или более поздней версии Для ОС РОСА КОБАЛЬТ: http://wiki.rosalab.ru/ru/index.php/ROSA-SA-18-04-02.003 http://wiki.rosalab.ru/ru/index.php/ROSA-SA-18-03-17.001

Источники (1)

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 7.4

Уточните SLA под вашу среду

Базовый балл 7.4 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации10.3%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2018-03-13

Опубликована

2018-03-16

Обновлена

2021-08-19

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Сертификация ФСТЭК

Продукт сертифицирован ФСТЭК России — сертификат №2557 (действует).

Карточка сертификата в реестре СЗИ

Сертификация подтверждает соответствие требованиям по защите информации на момент выдачи и не гарантирует отсутствие уязвимостей.

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2018-1057 MITRE: CWE-863 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2026-07421
Высокий
7.3

Уязвимость модуля vfs_worm программного обеспечения Samba, позволяющая нарушителю изменить произвольные файлы

BDU:2026-07317
Критический
10.0

Уязвимость подсистемы печати (printing subsystem) программ сетевого взаимодействия Samba, позволяющая нарушителю выполни

BDU:2026-07316
Критический
10.0

Уязвимость функции check password script модуля DCE/RPC SAMR server пакета программ сетевого взаимодействия Samba, позво

BDU:2026-07419
Высокий
7.1

Уязвимость механизма NTFS reparse points программного обеспечения Samba, позволяющая нарушителю изменить произвольные фа

BDU:2026-07422
Средний
8.0

Уязвимость компонента управления групповыми политиками (GPO) программного обеспечения Samba, позволяющая нарушителю обой

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0