概要：SambaのWINSサーバーに重大な脆弱性
SambaのWINSサーバーフックスクリプトに新たに重大な脆弱性が発見されました。この脆弱性により、認証されていないリモート攻撃者が、影響を受けるドメインコントローラー上で任意のコマンドを実行できる可能性があります。この脆弱性はCVE-2025-10230として追跡されており、CVSSv3.1スコアは最大の10.0を記録しています。これは、その悪用の容易さと、機密性、完全性、可用性への壊滅的な影響を反映しています。
脆弱性の詳細：CVE-2025-10230
- CVE ID: CVE-2025-10230
- 影響を受けるバージョン: Samba 4.0以降の全バージョン
- CVSS 3.1スコア: 10.0 (最大)
- 影響の概要: 認証なしで、細工されたWINS名を通じてADコントローラー上でリモートコード実行が可能
この問題は、SambaのWINSサポートが有効であり、ドメインコントローラーがsmb.conf内でwins hookパラメーターを指定している場合に発生します。これらの条件下では、WINS名の変更が、適切な入力検証なしに指定されたプログラムをトリガーします。
脆弱性のメカニズムと悪用条件
WINSサーバーは名前を直接シェルコマンドに渡すため、攻撃者はシェルメタ文字を含む悪意のあるNetBIOS名を細工することができます。この名前が処理されると、注入されたペイロードがシステムレベルの権限でサーバー上で実行されます。デフォルトではwins supportは無効ですが、多くの管理者はレガシーアプリケーションを統合するためにこれを有効にしています。
この脆弱性は、Active DirectoryドメインコントローラーとしてSambaが稼働しており、WINSサポートが有効な場合に、Samba 4.0以降の全バージョンに影響を与えます。非ADロール、スタンドアロンサーバー、またはメンバーサーバーは異なるWINSサーバー実装を使用するため、影響を受けません。
影響を受けるシステムとリスク
ネットワーク露出、認証要件の欠如、および成功した悪用による完全なシステム制御の組み合わせが、この脆弱性を重大なものにしています。リモート攻撃者は有効な認証情報を必要とせず、特別に細工されたWINSリクエストを送信するだけでユーザーの操作は不要です。これにより、組織はデータ窃盗、バックドアのインストール、ランサムウェアの展開、またはインフラストラクチャ全体の乗っ取りに直面する可能性があります。高いCVSSv3.1ベクトル文字列（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）は、ルートレベルでのメモリ読み書きアクセスを強調しています。WINSが有効なSamba ADドメインコントローラーを使用している組織は、この脆弱性を緊急の優先事項として扱うべきです。
推奨される対策と緩和策
Samba 4.23.2、4.22.5、および4.21.9用のパッチがリリースされています。管理者は直ちにこれらのバージョンにアップグレードするか、Sambaのセキュリティページで公式パッチを適用する必要があります。
すぐにアップデートできない環境では、wins hookパラメーターを削除または無効にすることが効果的な回避策です。具体的には、smb.confでwins hook =と明示的に設定することで、コマンド呼び出しを防ぐことができます。あるいは、WINSサポートを完全に無効にする（wins support = no）ことで、デフォルトの安全な動作に戻りますが、レガシーな名前解決に影響が出る可能性があります。
管理者は、不要なフックが存在しないかドメインコントローラーの構成を監査すべきです。Sambaの将来のリリースでは、非推奨のWINSフック機能が完全に削除される可能性があるため、長期的な展開を計画しているチームは、このメカニズムへの依存を再検討すべきです。
CVE-2025-10230は、WINSサポートが有効なSamba ADドメインコントローラーを使用する組織にとって深刻なリスクであり、即座の対応が求められます。アップデートの適用または脆弱な構成の無効化により、管理者はネットワークをリモートからの乗っ取りから保護し、重要なディレクトリサービスの完全性を維持することができます。