El proyecto Samba ha emitido un aviso de seguridad urgente que aborda dos vulnerabilidades en su infraestructura. La primera, identificada como CVE-2025-10230, es una falla crítica de inyección de comandos que podría permitir la ejecución remota de código (RCE) no autenticada en controladores de dominio de Active Directory (DCs AD) de Samba.
Características de la vulnerabilidad CVE-2025-10230
La falla tiene una puntuación CVSS de 10.0, la máxima posible, y afecta a sistemas donde la función de servidor WINS está habilitada con el parámetro «wins hook» configurado. Otros servidores Samba, como servidores miembro o hosts independientes, no se ven afectados.
El problema surge debido a una validación de entrada insuficiente en la implementación del servidor WINS de los DCs AD de Samba. Cuando se registra o cambia un nombre WINS, Samba ejecuta el programa definido en el parámetro «wins hook», pero no depura los datos de entrada transmitidos al shell del sistema.
«El servidor WINS utilizado por el controlador de dominio de Active Directory de Samba no valida los nombres transmitidos al programa wins hook, sino que los transmite insertándolos en una cadena ejecutada por un shell», explica el aviso.
Esta falla implica que un cliente malicioso podría enviar un nombre NetBIOS especialmente diseñado, incluyendo metacaracteres de shell (como ; o |), lo que provoca la ejecución de comandos arbitrarios en el controlador de dominio afectado.
Dado que el ataque no requiere autenticación, representa un riesgo especialmente alto para las redes empresariales que utilizan configuraciones obsoletas o heredadas.
Configuración y mitigación
Como mitigación inmediata, los administradores deben evitar configurar el parámetro «wins hook» en su archivo smb.conf en los controladores de dominio. Se recomienda evitar configurar el parámetro en el archivo smb.conf de un controlador de dominio AD de Samba. Como alternativa, deshabilitar WINS por completo (wins support = no) también elimina la exposición. El valor predeterminado es «no».
El equipo de Samba también advirtió que la funcionalidad «wins hook» está prácticamente obsoleta y podría eliminarse en futuras versiones.
Vulnerabilidad adicional: CVE-2025-9640
Además del error de RCE, Samba corrigió una segunda vulnerabilidad, CVE-2025-9640, con calificación CVSS 4.3 (Media), que implicaba una divulgación de memoria no inicializada en el módulo vfs_streams_xattr.
«La memoria no inicializada puede escribirse en flujos de datos alternativos, lo que podría provocar la filtración de datos confidenciales», explica el aviso.
Este error podría permitir a usuarios autenticados leer muestras de memoria mediante solicitudes de escritura que crean vulnerabilidades en los archivos, lo que podría exponer fragmentos de datos de operaciones anteriores.
Los sistemas que no utilizan vfs_streams_xattr no se ven afectados, y el problema se puede mitigar temporalmente eliminando el módulo de la configuración.
Actualizaciones disponibles
El equipo de Samba ha publicado las versiones 4.23.2, 4.22.5 y 4.21.9 que corrigen ambas vulnerabilidades. Se recomienda encarecidamente a los administradores que actualicen la versión inmediatamente o apliquen el parche manualmente.