CVE 繁中資安情報網

回最新 CVE 列表

CVE-2026-4408 Samba check password script 未逸出使用者名稱導致未驗證 RCE

揭露日期 2026-05-28CVSS 3.1：CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

對象資安IT

CWE-78 作業系統指令注入

未列入 CISA KEV

PoC 狀態未確認

三句重點

成因
Samba 把用戶端使用者名稱代入 check password script 的 %u，未做 shell 逸出（CWE-78）。
影響
未驗證攻擊者可以 samba-dcerpcd 系統服務權限執行任意指令，該服務常以 root 執行。
條件
須為檔案伺服器或 classic DC、腳本含 %u，且 samba-dcerpcd 以系統服務啟動。

版本比對

套件❌ 受影響版本✅ 安全版本
Samba4.22.x 於 4.22.10 之前；4.23.x 於 4.23.8 之前；4.24.x 於 4.24.3 之前（脆弱組態下官方稱所有版本皆受影響）>= 4.22.10 / 4.23.8 / 4.24.3
sambaRHEL 8／9／10 修補套件之前（含 EUS 9.6、10.0）>= 0:4.19.4-16.el8_10；0:4.23.5-10.el9_8；0:4.23.5-109.el10_2
sambaaptUbuntu 24.04 LTS（noble）於 USN-8306-1 之前>= 2:4.19.5+dfsg-4ubuntu9.6
sambaaptDebian bookworm 於 DSA-6297-1 之前>= 2:4.17.12+dfsg-0+deb12u4

修復指令

請先於測試環境驗證，再套用到正式環境。

sudo apt-get install --only-upgrade samba
sudo apt-get install --only-upgrade samba

修補方式

攻擊思路

  1. 確認脆弱組態：目標須為檔案伺服器或 classic（非 AD）DC，smb.conf 的 check password script 含 %u，且 samba-dcerpcd 以系統服務啟動（rpc start on demand helpers = no）。 來源
  2. 連線 RPC 傳輸：未驗證用戶端以 NCACN_IP_TCP 連到 samba-dcerpcd；常見先經 TCP 135 端點對應器，再連動態 RPC 埠，而非預設 SMB named pipe。 來源
  3. 綁定 SAMR 介面：對 SAMR 介面做 DCE/RPC bind，呼叫 SamrValidatePassword（opnum 67），ValidationType 為 PasswordChange 或 PasswordReset。 來源
  4. 未逸出名稱代入：請求中的 UserAccountName 被填入 %u 後交給 smbrunsecret，未呼叫 escape_shell_string，shell 中繼字元會被解讀。 來源
  5. 服務權限執行：單次 RPC 即可觸發腳本；成功時指令以 samba-dcerpcd 系統服務權限執行，Samba 與多數發行版描述該服務常以 root 執行。 來源

偵測提示

暫時緩解

升級至 Samba 4.22.10、4.23.8 或 4.24.3（或發行版對應 errata），或套用 Samba Security 官方 patch。暫時緩解：維持 rpc start on demand helpers = yes，勿將 samba-dcerpcd 當系統服務；或自 check password script 移除 %u，改由環境變數 SAMBA_CPS_ACCOUNT_NAME 讀取使用者名稱。以單引號包住 %u 不是完整緩解。

通報團隊

複製成可直接貼到 Slack 或 Email 的通報文字。

預覽通報內容
🚨【資安漏洞通報】CVE-2026-4408
等級：Critical (9.0)
受影響套件：Samba 4.22.x 於 4.22.10 之前；4.23.x 於 4.23.8 之前；4.24.x 於 4.24.3 之前（脆弱組態下官方稱所有版本皆受影響）、samba RHEL 8／9／10 修補套件之前（含 EUS 9.6、10.0）、samba Ubuntu 24.04 LTS（noble）於 USN-8306-1 之前、samba Debian bookworm 於 DSA-6297-1 之前
漏洞簡述：Samba 把用戶端使用者名稱代入 check password script 的 %u，未做 shell 逸出（CWE-78）。；未驗證攻擊者可以 samba-dcerpcd 系統服務權限執行任意指令，該服務常以 root 執行。；須為檔案伺服器或 classic DC、腳本含 %u，且 samba-dcerpcd 以系統服務啟動。
建議措施：依受影響版本升級：Samba（4.22.x 於 4.22.10 之前；4.23.x 於 4.23.8 之前；4.24.x 於 4.24.3 之前（脆弱組態下官方稱所有版本皆受影響））升級至 4.22.10 / 4.23.8 / 4.24.3 以上；samba（RHEL 8／9／10 修補套件之前（含 EUS 9.6、10.0））升級至 0:4.19.4-16.el8_10；0:4.23.5-10.el9_8；0:4.23.5-109.el10_2 以上；samba（Ubuntu 24.04 LTS（noble）於 USN-8306-1 之前）升級至 2:4.19.5+dfsg-4ubuntu9.6 以上；samba（Debian bookworm 於 DSA-6297-1 之前）升級至 2:4.17.12+dfsg-0+deb12u4 以上
詳細連結：https://cve.eacc.online/cve/CVE-2026-4408

參考連結