Voltar
-
Título
Resposta da KACE a vulnerabilidade BadLock -
Descrição
O KACE K1000 é um Appliance de Gerenciamento de Sistemas com habilidade de monitorar, proteger e atualizar desktops e servidores.
Também provê funcionabilidades de Service Desk e um Gerenciamento de Ativos
O K1000 está disponível em versão física, virtual e algumas edições de funcionabilidades limitadas.
O Appliance de Controle de Ativos e a versão Express.
O KACE K2000 é um Appliance de Implantação de Sistemas com habilidades de remotamente instalar sistemas operacionais através de instalações
automatizadas ou por imagem.
Também provê migração de dados automatizada e possibilidades de configurações de sistemas. O K2000 está disponível em versão física ou virtual.
Um BUG de segurança no Windows e no SAMBA conhecido como Badlock (CVE-2016-2118) foi anunciado em http://badlock.org junto com atualizações recomendadas para corrigir o problema.
-
Causa
Badlock (CVE-2016-2118) -
Resolução
No K1000, o SAMBA é usado para provisionar os agentes do K1000 quando não é usado os metodos comuns como Group Policy.
KACE pesquisou esta vulnerabilidade e determinou que o nosso appliance K1000 não contém versões vulneraveis do SAMBA,
está restrito a um diretório específico com apenas um privilégio muito específico para ter a habilidade de explorar a vulnerabilidade.
Além disso, quando o agente é provisionado para as maquinas, não é mais necessario manter o SAMBA do K1000 ativo.
O SAMBA pode ser desabilitado no K1000 desmarcando a seleção "Habilitar Compartilhamento de Arquivos" nas Configurações | Painel de Controle | Configurações de Segurança
na sessão chamada "Samba".
No K2000 o Samba é utilizado como um compartilhamento de arquivos para varias funcionabilidades, como biblioteca de drivers e instalação de sistemas operacionais.
Por causa que só existe uma simples conta de usuário unico no acesso ao compartilhamento de arquivos do K2000, não existe a possibilidade de
escalar privilégios conforme o vetor MITM sugerido.
Nenhum de nossos produtos KACE usa o SAMBA como Controlador de Dominio Active Directory ou servidor de LDAP,
o que poderia ter consequencias severas que facilitariam a exploração da vulnerabilidade Badlock.
Atualizações estão previstas nas futuras versões do K1000 e K2000 como parte de nossa contínua busca para oferecer soluções mais seguras.
Entretanto, nós não iremos lançar nenhum Hotfix para o K1000 desde que você pode desabilitar o SAMBA como detalhamos acima, ou Hotfix para o K2000
onde a vulerabilidade Badlock não se aplica no K2000.
Versões Afetadas:
KACE K1000 Systems Management Appliance (Físico, Virtual e K1000 as a Service)
KACE K1000 Asset Management Appliance e K1000 Express 6.4 e anteriores.
KACE K2000 Systems Deployment Appliance (Físico e Virtual) versões 3.7 e anteriores