Linux CIFSwitch-Kernel-Schwachstelle ermöglicht Angreifern Root-Zugriff

Technischer Hintergrund

Durch die Einstellung upcall_target=app und das Bereitstellen einer bösartigen pid zwingt der Angreifer cifs. Upcall dazu, in den Namespaces des vom Angreifer kontrollierten Prozesses zu wechseln, bevor er NSS-basierte Kontenabfragen durchführt und schließlich seine Privilegien aufgibt.

Innerhalb dieses vom Angreifer kontrollierten Mount-Namespace können eine bösartige nsswitch.conf und eine schädliche libnss_*.so.2-Datei platziert werden, sodass eine Code lädt und ausführt. PoC bösartige NSS-Modul einen Eintrag in /etc/sudoers.d, wodurch dem Angreifer effektiver root-Zugang gewährt wird.

Der zugrundeliegende Kernel-Fehler stammt aus dem Jahr 2007. Allerdings erfordert eine erfolgreiche Ausnutzung mehrere Voraussetzungen: ein verwundbares Kernel, eine kompatible Version (insbesondere 6.14+ oder ltere Builds mit nachgepatchten nderungen) sowie die Erstellung.

Sicherheitslage und Risiko

Linux-Sicherheitsmodul-Policies (LSM) wie SELinux oder AppArmor, die den Angriffsvektor nicht blockieren. Tests zeigen, dass viele Mainstream-Distributionen aus der Verpackung heraus angreifbar sind, sofern cifs-utils vorhanden ist. Gegensatz dazu sind andere Distributionen erst nach der Installation der Standard-LSM-Policies angreifbar.

Der upstream-Kernel-Fix fgt einen vet_description-Hook fr den cifs.SPNEGO-Schlsseltyp hinzu, sodass Beschreibungen nur dann akzeptiert werden, wenn die Anfrage unter dem internen spnego_cred des CIFS-Clients erfolgt, was unprivilegierten Userspace effektiv daran hindert, sich als Kernel auszugeben.

Zustzlich wird eine weitere Absicherung in cifs-utils empfohlen, damit cifs.Upcall Schlsselbeschreibungen nicht bedingungslos als vom Kernel stammend vertraut.

Sicherheitslage und Risiko

Asim Manizada hat das vollständige technische Dokument („CIFSwitch") und den Proof-of-Concept-Exploit auf GitHub veröffentlicht, Verteidiger, Maintainer und Incident-Responder bei der Überprüfung ßnahmen und Patch-Abdeckung zu unterstützen.

Administratoren sollten die rückportierten Kernel-Patches dringend einsetzen und Maßnahmen zur verteidigenden Tiefe Betracht ziehen, wie beispielsweise das Deaktivieren, das Entfernen ärfen der request-key-Regeln für cifs, spnego und die Einschränkung ist Security Editorin und Reporterin bei