Bollettino 106/2026

descrizione

Il bollettino riguarda sei vulnerabilità in Samba. Le due di priorità critica (CVE-2026-4408, CVE-2026-4480) sono entrambe classificate CWE-78 (OS Command Injection) e impattano rispettivamente il servizio samr e il sottosistema di stampa: il vettore CVSS indica sfruttabilità remota con scope Changed, confidenzialità, integrità e disponibilità compromesse ad alto livello.

Due vulnerabilità di priorità high (CVE-2026-1933, CVE-2026-2340) colpiscono rispettivamente la gestione dei reparse point NTFS-style su share read-only (CWE-284, impatto su integrità e disponibilità) e il modulo vfs_worm che non blocca correttamente le modifiche alle directory (CWE-280, impatto su integrità).

Una vulnerabilità di priorità low (CVE-2026-3012) riguarda la gestione del Group Policy per il certificate auto-enrollment, che utilizza HTTP senza validazione (CWE-345). Infine, CVE-2026-3238 risulta priva di dati CVSS, CWE e descrizione significativa.

note

CVE-2026-4408 presenta vettore AV:N/AC:H/PR:N/UI:N/S:C: sfruttabile remotamente senza autenticazione, complessità alta, scope Changed con impatto completo su C/I/A. CVE-2026-4480 condivide lo stesso pattern CWE-78 ma richiede privilegi bassi (PR:L), limitando l'accesso al sottosistema di stampa a utenti autenticati; anch'essa scope Changed e impatto C/I/A alto. Entrambe sono classificate priority critical secondo il priority_score calcolato.

CVE-2026-1933 (AV:N/AC:L/PR:L/UI:N/S:U) è sfruttabile remotamente con bassa complessità da utente autenticato; impatta disponibilità (alto) e integrità (basso) su share configurati con read only = yes. CVE-2026-2340 (AV:N/AC:L/PR:L/UI:N/S:U) è anch'essa remota a bassa complessità con autenticazione minima, impatto esclusivo su integrità (alto); entrambe classificate priority high.

CVE-2026-3012 (AV:A/AC:H/PR:N/UI:N/S:C) è sfruttabile solo da rete adiacente con alta complessità; scope Changed ma nessun impatto sulla disponibilità. Priority low per EPSS percentile prossimo a zero (0.00181).

CVE-2026-3238 è priva di score CVSS, vettore, CWE e descrizione tecnica; priority low per assenza di dati. Non è possibile effettuare alcuna valutazione tecnica su questa voce.

Per CVE-2026-2340 i CPE indicano impatto confermato su RedHat Enterprise Linux 7.0, 8.0, 9.0, 10.0, RedHat OpenShift Container Platform 4.0 e Samba dalla versione 4.1.0 inclusa. Per le restanti CVE i campi CPE non sono popolati.

Non risultano a oggi CVE nel catalogo CISA KEV, exploit in the wild o proof-of-concept pubblici.

CVE

CVE	CVSS	EPSS	priority
CVE-2026-4408	3.1: 9.0	0.234% \| 46.36%	critical
CVE-2026-4480	3.1: 9.0	0.074% \| 22.47%	critical
CVE-2026-2340	3.1: 7.0	0.031% \| 9.33%	high
CVE-2026-1933	3.1: 7.0	0.028% \| 8.59%	high
CVE-2026-3012	3.1: 8.0	0.004% \| 0.18%	low
CVE-2026-3238	3.1: 0.0	0.000% \| 0.00%	low

NOTA: Le vulnerabilità sono ordinate per priorità operativa, calcolata combinando la gravità teorica (CVSS) con la probabilità reale di sfruttamento (EPSS).

tipi di attacco

CWE	descrizione
CWE-78	Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
CWE-280	Improper Handling of Insufficient Permissions or Privileges
CWE-345	Insufficient Verification of Data Authenticity
CWE-284	Improper Access Control