WannaCry en sistemas Linux:¿Cómo te proteges?

Los desarrolladores utilizan esta opción global para permitir o prohibir a los clientes de Windows NT/2000/XP la capacidad de realizar conexiones a conductos SMBIPC$ específicos de NT. Como usuario, nunca debería necesitar anular el valor predeterminado.

Sin embargo, según nuestra experiencia interna, ¿parece que la solución no es compatible con versiones anteriores? Versiones de Windows (¿al menos algunas? Los clientes de Windows 7 parecen no funcionar con nt pipe support = no ), y como tal, la ruta de remediación puede ir en casos extremos a instalar o incluso compilar Samba.

Más específicamente, esta solución deshabilita la lista de recursos compartidos de los clientes de Windows y, si se aplica, deben especificar manualmente la ruta completa del recurso compartido para poder usarlo.

Otra solución alternativa conocida es asegurarse de que los recursos compartidos de Samba estén montados con el noexec opción. Esto evitará la ejecución de archivos binarios que residen en el sistema de archivos montado.

El parche del código fuente de seguridad oficial está aquí desde la página de seguridad de samba.org.

Debian ya envió ayer (24/5) una actualización y el aviso de seguridad correspondiente DSA-3860-1 samba

Para verificar si la vulnerabilidad está corregida en Centos/RHEL/Fedora y derivados, haga:

#rpm -q –changelog samba | grep -i CVE
– resolves: #1450782 – Fix CVE-2017-7494
– resolves: #1405356 – CVE-2016-2125 CVE-2016-2126
– related: #1322687 – Update CVE patchset

Ahora hay un nmap secuencia de comandos de detección:samba-vuln-cve-2017-7494.nse para detectar versiones de Samba, o un nmap mucho mejor script que verifica si el servicio es vulnerable en http://seclists.org/nmap-dev/2017/q2/att-110/samba-vuln-cve-2017-7494.nse, cópielo en /usr/share/nmap/scripts y luego actualice el nmap base de datos, o ejecútelo de la siguiente manera:

nmap --script /path/to/samba-vuln-cve-2017-7494.nse -p 445 <target>

Acerca de las medidas a largo plazo para proteger el servicio SAMBA:El protocolo SMB nunca debe ofrecerse directamente a Internet en general.

No hace falta decir que SMB siempre ha sido un protocolo enrevesado, y que este tipo de servicios deben estar protegidos por un cortafuegos y restringidos a las redes internas [a las que se sirven].

Cuando se necesita un acceso remoto, ya sea al hogar o especialmente a las redes corporativas, esos accesos deben hacerse mejor usando tecnología VPN.

Como de costumbre, en estas situaciones el principio de Unix de instalar y activar únicamente los servicios mínimos requeridos vale la pena.

Tomado del propio exploit:

    For local exploit provide the full path to your shared library to load.  

    Your shared library should look something like this

    extern bool change_to_root_user(void);
    int samba_init_module(void)
    {
        change_to_root_user();
        /* Do what thou wilt */
    }