โครงการ Samba ระบบแชร์ไฟร์แบบ SMB (แชร์ไฟล์บนวินโดวส์) แบบโอเพนซอร์ส รายงานถึงช่องโหว่ของโมดูล vfs_fruit ว่ามีช่องโหว่ร้ายแรง หากผู้ใช้มีสิทธิ์เขียนค่า extended attribute ของไฟล์ได้ก็จะรันโค้ดในเซิร์ฟเวอร์ได้

โมดูล vfs_fruit เป็นโมดูลสำหรับการเปิดโหมดแชร์ไฟล์กับระบบปฎิบัติการของแอปเปิล ค่าคอนฟิกมาตรฐานของ Samba เองไม่ได้เปิดใช้งานโมดูลนี้เอาไว้ แต่หากเปิดใช้งานไว้ ค่าคอนฟิกมาตรฐานของ vfs_fruit เองจะกำหนดไว้สองค่า คือ fruit:metadata=netatalk หรือ fruit:resource=file หากค่าคอนฟิกต่างจากนี้ก็ไม่ได้รับผลกระทบ ทางแก้ชั่วคราวมีตั้งแต่การปิดโมดูลทิ้ง หรือการแก้คอนฟิกของโมดูล แต่ผู้ใช้ macOS อาจจะมองไม่เห็นไฟล์อีก

กูเกิลออกแอพ Android Samba Client สำหรับเชื่อมต่อเผื่อแชร์ไฟล์ผ่านโพรโทคอล SMB มาแบบเงียบๆ บน Play Store

แอพตัวนี้เป็นการพอร์ต Samba ไคลเอนต์ SMB แบบโอเพนซอร์สจากลินุกซ์มายังแอนดรอยด์โดยตรง ตัวมันเองก็เป็นโอเพนซอร์สและเปิดโค้ดบน GitHub

กูเกิลไม่ได้ประกาศข่าวอะไรถึงแอพตัวนี้ และชื่อนักพัฒนาก็เป็น Marketing @ Google ที่เป็นเหมือนทีมเฉพาะกิจมากกว่า ข้อเสียของแอพตัวนี้คือมันรองรับเฉพาะ SMBv1 เท่านั้น ซึ่งเป็นโพรโทคอลที่ไม่ปลอดภัย และไมโครซอฟท์ไม่แนะนำให้ใช้งานแล้ว

ช่องโหว่ Badlock (CVE-2016-2118) ที่เปิดทางให้แฮกเกอร์สามารถคั่นกลางการเชื่อมต่อ (man-in-the-middle attack) กับการเชื่อมต่อไปยัง Samba ทำให้ถูกเข้าดูข้อมูลและแก้ไขข้อมูลได้ถูกเปิดเผยต่อสาธารณะแล้ว

องค์กรทั่วไปน่าจะใช้ Samba สำหรับการแชร์ไฟล์กันเป็นหลัก กรณีนี้แฮกเกอร์จะสามารถเข้าแก้ไขสิทธิ์ของไฟล์และโฟลเดอร์บนเซิร์ฟเวอร์ได้ และหากใช้ Samba เป็น Active Directory ด้วย ช่องโหว่นี้ก็จะเปิดทางแฮกเกอร์เข้าดูและแก้ไขฐานข้อมูลของ AD ได้ รวมถึงสั่งชัตดาวน์เซิร์ฟเวอร์ได้

ถ้าใครใช้งานลินุกซ์ในบริษัทขนาดเล็กอยู่คงได้ใช้งานโปรแกรม Samba กันอยู่บ้าง เพราะโปรแกรมตัวนี้เป็นบริการแชร์ไฟล์ให้กับเครื่องในวินโดวส์โดยไม่ต้องติดตั้งโปรแกรมเพิ่มเติมแต่อย่างใด แต่สามารถ Map Drive ได้ทันที

เรื่องที่น่าสนใจสำหรับ Samba คือกระบวนการออกแบบโปรแกรมทุกวันนี้ใช้วิธีการแกะเอาจากการทำงานของวินโดวส์ ทำให้บางครั้งมีปัญหาเรื่องของความเข้ากันได้อยู่บ้าง และฟีเจอร์บางอย่างที่ไมโครซอฟท์มีก็ไม่สามารถทำได้เนื่องจากทีมงานแกะไม่ออก

โครงการ Samba ประกาศว่าจะใช้ GPLv3 กับซอฟต์แวร์รุ่นถัดไป โดยจะเปลี่ยนเลขเวอร์ชันของ Samba 3.0.26 ที่อยู่ระหว่างการพัฒนา มาเป็น 3.2.0 เพื่อแสดงถึงการเปลี่ยนแปลงครั้งนี้

Samba 3.0.x ที่เคยออกมาก่อนหน้าแล้วจะยังเป็น GPLv2 ต่อไป และทางโครงการสัญญาว่าจะยังออกแพตช์ด้านความปลอดภัยให้กับ Samba 3.0.25b ตราบเท่าที่ "มีคนใช้ในวงกว้าง" รายละเอียดอื่นๆ เกี่ยวกับการนำ Samba ไปใช้กับโปรแกรมอื่นๆ และเรื่องสิทธิบัตร อ่านได้จาก FAQ ของ Samba

นี่อาจถือว่าเป็นโครงการโอเพนซอร์สรายใหญ่รายแรก ที่ประกาศใช้ GPLv3 หลังการออกเวอร์ชันจริง

ที่มา - Samba Adopts GPLv3 for Future Releases

ความร่วมมือระหว่างไมโครซอฟท์กับโนเวลล์สร้างกระแสต่อต้านในโลกโอเพนซอร์สค่อนข้างชัดเจน โดยเฉพาะโครงการ Samba ที่เป็นหนึ่งในโครงการที่ถูกผนวกในสัญญาไม่ฟ้องการละเมิดสิทธิบัตรต่อกัน ทางโครงการ Samba นั้นแสดงท่าที่ไม่พอใจโนเวลล์อย่างชัดเจน และเคยยื่นจดหมายขอให้ถอนโครงการ Samba ออกจากสัญญาดังกล่าว

หลังจากไมโครซอฟท์กับโนเวลล์เซ็นสัญญากันไปเรียบร้อย โลกโอเพนซอร์สดูเหมือนจะร้อนขึ้นแทนที่จะเย็นลง ข่าวล่าสุดคือทีมงาน Samba ได้เรียกร้องต่อโนเวลล์ให้ถอนโครงการ Samba ออกจากสัญญาการไม่ฟ้องการละเมิดสิทธิบัตรระหว่างกันของไมโครซอฟท์และโนเวลล์

เหตุผลของทางโครงการ Samba ในครั้งนี้คือสัญญาครั้งนี้เป็นการแบ่งแยกระหว่างซอฟต์แวร์เสรีเพื่อการค้า และซอฟต์แวร์เสรีที่ไม่ใช่เพื่อการค้า โดยสัญญาระหว่างโนเวลล์กับไมโครซอฟท์นั้นทำให้ลูกค้าของโนเวลล์เท่านั้นที่เชื่อได้ว่าไมโครซอฟท์จะไม่ฟ้องร้องตน ขณะที่ผู้ใช้ซอฟต์แวร์เสรีทั่วไปไม่มีการป้องกันใดๆ ในเรื่องนี้ และทาง Samba มองว่าการกระทำเช่นนี้ของโนเวลล์เป็นการกระทำที่ไม่เป็นมิตรต่อชุมชนซอฟต์แวร์เสรี