Уязвимост в утилитата smb4k, която позволява получаване на root права в системата

В утилитата smb4k, използвана в KDE за откриване и монтиране на SMB дялове, са открити уязвимости, които позволяват получаване на root достъп до системата. Проблемите са отстранени в версия Smb4K 4.0.5. Състоянието на новата версия на пакета или наличието на корекции може да бъде проверено на следните страници: Debian, Ubuntu, Fedora, SUSE/openSUSE, Gentoo, Arch и FreeBSD.

За изпълнение на привилегировани действия в smb4k се използват KAuth обработчици, стартирани с root права. Уязвимостите присъстват в обработчика Smb4KMountHelper и са причинени от факта, че функциите за монтиране (CVE-2025-66003) и демонтиране (CVE-2025-66002) на мрежова файлова система не филтрират правилно опциите, предавани на командите mount.cifs и unmount.cifs, което позволява на непривилегирован потребител да предаде на тези команди всякакви опции чрез параметъра mh_options.

Например, чрез опциите "filemode=04777,uid=0" на всички файлове в монтирания дял ще бъде зададен флаг suid root. Потребителят може да стартира SMB сървър и да монтира собствен дял с необходимите изпълними файлове, които при задаване на опции "filemode=04777,uid=0" ще се изпълняват с root права.

В обработчика Smb4KMountHelper също не са проверявани правилно целевите директории, което например позволява да се монтира собствен SMB дял вместо директория /bin и да се подмени с модифицирана версия /bin/bash. Освен това, чрез параметъра mh_krb5ticket може да се промени пътят до файла с удостоверения Kerberos и да се постигне извеждане на съдържанието на произволен файл, например /etc/shadow, в stderr или публичен лог.

Уязвимостта в функцията Smb4KMountHelper::unmount() може да се използва за предизвикване на отказ в обслужването чрез демонтиране на системни дялове, манипулирайки съдържанието на параметъра mh_mountpoint. Интересно е, че в кода имаше проверка за типа дял, която пропускаше само дялове cifs, smbfs и smb3, но в if блока за извеждане на грешка беше пропуснат операторът "return" и изпълнението не беше прекратено.

Източник: opennet.ru