Samba : contournement d'accès via vfs_ceph_rgw (CVE-2026-109411)

Le CERT-FR a publié le 28 octobre 2026 l'avis CERTFR-2026-AVI-1400, qui relaie le bulletin de sécurité Samba du 23 octobre pour CVE-2026-109411. La faille, notée CVSS 8.1, permet à un utilisateur authentifié de contourner les contrôles d'accès — mais uniquement si le module vfs_ceph_rgw est en service. Le périmètre est donc étroit : vérifiez d'abord si vous l'utilisez.

Ce que fait le bug

Le bulletin Samba décrit un « access control bypass via vfs_ceph_rgw case-insensitive open ». Quand un client ouvre un fichier existant en changeant la casse des lettres, la recherche du module échoue et le serveur traite la requête comme une création de fichier. Ce basculement saute la vérification d'accès sur le fichier existant.

Conséquence, telle que formulée par Samba : un utilisateur authentifié peut lire ou écraser des fichiers appartenant à un autre utilisateur, « despite those files having restrictive permissions ». Les impacts retenus par le CERT-FR sont une atteinte à l'intégrité des données, une atteinte à la confidentialité des données et un contournement de la politique de sécurité. Le vecteur CVSS publié est CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N.

Versions concernées

• Toutes les versions de Samba depuis la 4.25 où le module vfs_ceph_rgw est présent.
• Correctif disponible en Samba 4.25.1 ; des correctifs sont également publiés sur samba.org.

Les déploiements qui n'utilisent pas le backend Ceph RGW ne sont pas affectés par cette CVE.

Que faire

1. Déterminez si vfs_ceph_rgw est activé (configuration vfs objects de vos partages adossés à Ceph RGW). Si non, cette faille ne vous concerne pas.
2. Si oui, passez à Samba 4.25.1 ou appliquez les correctifs publiés par le projet.
3. En attendant le correctif, revoyez qui dispose d'un accès authentifié aux partages concernés : l'exploitation suppose un compte valide, pas un accès anonyme.
4. Vérifiez la version réellement servie après mise à jour (smbd --version), paquets distribution compris.

Pour mettre en perspective

Ce n'est pas la première faille d'accès dans Samba relayée par l'ANSSI cette année — nous avions couvert CVE-2026-4408 dans le service SAMR. Ici la portée est volontairement restreinte : la faille ne mord que sur les installations Ceph RGW, mais sur celles-là un simple changement de casse suffit à franchir des permissions censées isoler les utilisateurs. Aucune exploitation active n'est mentionnée.