Samba corrige les droits d’accès de certains partages Ceph RGW

Un correctif pour empêcher le contournement des droits

Samba 4.25.1 corrige la vulnérabilité CVE-2026-109411. Sur les partages vulnérables, un utilisateur déjà authentifié et autorisé à ajouter un fichier au répertoire parent peut lire ou écraser un fichier appartenant à une autre personne, malgré les permissions restrictives de ce fichier. Le bulletin du projet Samba décrit les conditions de ce contournement.

Le mécanisme repose sur l’ouverture d’un fichier existant avec une casse différente, c’est-à-dire une autre combinaison de majuscules et de minuscules, et avec le mode d’ouverture FILE_OPEN_IF. Le serveur traite alors la demande comme une création : il vérifie seulement le droit d’ajouter un fichier dans le répertoire parent et omet le contrôle des droits sur le fichier existant. L’ouverture suivante retrouve pourtant ce fichier.

Pour la direction, la décision consiste à demander une vérification ciblée des installations et à faire organiser leur correction lorsque la configuration vulnérable est présente.

Seuls certains partages sont concernés

Les notes de version officielles précisent que cette faille touche uniquement Samba 4.25.0 et le module nouvellement introduit vfs_ceph_rgw. Le bulletin confirme que seuls les partages configurés avec ce module sont affectés.

Une configuration protectrice doit être prise en compte : le réglage case sensitive = yes sur le partage évite cette vulnérabilité. Le nom écrit avec une casse différente est alors traité comme un objet distinct, plutôt que de désigner le fichier existant. Le projet avertit que ce réglage change le comportement du partage pour les clients qui dépendent de noms insensibles à la casse. Sa modification éventuelle demande donc d’examiner les usages concernés.

Demandez à la personne chargée du serveur de vérifier conjointement la version, les modules et le réglage de sensibilité à la casse de chaque partage, ainsi que les comptes autorisés à ajouter des fichiers dans les répertoires concernés. L’authentification seule ne suffit pas à décrire l’exposition.

Le correctif est disponible depuis le 23 octobre

Samba 4.25.1 a été publié le 23 octobre 2026. Le CERT-FR a diffusé son avis de sécurité le 28 octobre. Ces dates restent celles de la publication du correctif et de l’avis : il ne s’agit pas d’une nouvelle annonce du 2 novembre.

Le projet recommande de mettre à jour ou d’appliquer son correctif dès que possible. Il ne fixe pas de date limite calendaire.

Faire vérifier puis corriger les installations concernées

• Demandez un relevé de la version Samba installée et des partages utilisant le module vfs_ceph_rgw.
• Faites contrôler, partage par partage, le réglage case sensitive = yes et les droits d’ajout de fichiers dans les répertoires parents pour qualifier l’exposition réelle.
• Pour les installations vulnérables, organisez le passage à Samba 4.25.1 ou l’application du correctif officiel ; attribuez l’intervention à un responsable identifié.
• Demandez une vérification des accès après intervention, avec des comptes distincts, puis conservez le résultat avec la version corrigée et la configuration contrôlée.

Pour l’entretien des protections de vos serveurs de fichiers, VCSTS prend en charge les mises à jour des composants couverts et la revue des comptes et règles dans le périmètre confié.