CVE-2025-10230

Nome do Software Vulnerável e Versões Afetadas Samba versões 4.0 até 4.21.8 Samba versões 4.22.0 até 4.22.4 Samba versões 4.23.0 até 4.23.1

Description Uma falha de injeção de comando existe no tratamento do hook WINS front-end de Controladores de Domínio Active Directory do Samba. Quando o recurso de servidor WINS está habilitado e um parâmetro wins hook está configurado, os nomes NetBIOS de pacotes de registro são passados para um shell sem a devida validação ou escape. Um invasor de rede não autenticado pode enviar um pacote de registro WINS especialmente manipulado para a porta UDP 137 contendo metacaracteres de shell no nome NetBIOS, permitindo a execução remota de comandos com os privilégios do processo Samba. Este problema afeta especificamente servidores atuando como Controladores de Domínio Active Directory; servidores membros ou independentes não são afetados.

Recommendations Atualize para a versão 4.21.9. Atualize para a versão 4.22.5. Atualize para a versão 4.23.2. Como solução temporária, desative o WINS definindo wins support = no na configuração. Como solução temporária, remova o parâmetro wins hook da configuração.