Samba est un logiciel open source utilisé par les professionnels pour partager, entre des machines Windows, des imprimantes ou du stockage fonctionnant sous d’autres plates-formes. La vulnérabilité découverte peut compromettre l’intégrité des données.
La communauté open source encourage fortement les administrateurs à mettre à jour leur logiciel Samba, utilisé à grande échelle dans des serveurs Unix ou GNU/Linux pour partager des fichiers Windows. Une faille importante a été découverte il y a quelques jours: elle concerne les version 2.x de Samba (y compris la dernière stable, 2.2.7.a), et peut compromettre l’intégrité des données partagées.
Ce logiciel d’administration se retrouve dans bon nombre de machines Unix ou dérivées, y compris les serveurs sous MacOS X d’Apple (inspiré du noyau Unix). Développé en open source et régi par la licence des logiciels libres (GNU GPL), Samba permet de partager des ressources disques et des imprimantes au sein d’un parc informatique, administré par le système vedette de Microsoft.
L’équipe de développement de Samba a publié une alerte, aujourd’hui 18 mars, et une mise à jour vers Samba 2.2.8, conçue pour corriger cette vulnérabilité. Elle provient du fait que certains de ces serveurs Samba sont reliés à des machines connectées à l’internet, alors que l’application est conçue pour partager des ressources dans le cadre d’un réseau interne. En envoyant au serveur un code particulier que Samba interprète mal et qui est susceptible d’entraîner un dépassement de mémoire, somme toute très classique (dit « buffer obverflow »), l’attaquant pourrait prendre le contrôle du serveur à distance ou y installer des logiciels espions.
La vulnérabilité a été découverte le week-end dernier en Allemagne au sein de la compagnie Suse Linux; le code source de Samba y est ouvert à tous.
Certaines distributions GNU/Linux ont déjà publié leurs propres correctifs de mise à jour (c’est le cas de Debian, Gentoo, Suse, Mandrakesoft et Red Hat). Apple Computer, bien qu’ayant précisé que Samba tourne rarement en natif sur un serveur MacOS X, promet de tenir compte de cette vulnérabilité dans la prochaine version de son système d’explotation (10.2.4).
[source – ZDNet.fr]