Уязвимост в утилитата smb4k, позволяваща получаване на root права в системата

В утилитата smb4k, използвана в KDE за откриване и монтиране на SMB дялове, са открити уязвимости, които позволяват получаване на root достъп до системата. Проблемите са отстранени в версия Smb4K 4.0.5. Можете да проверите състоянието на новата версия на пакета или наличността на поправки в дистрибуциите на следните страници: Debian, Ubuntu, Fedora, SUSE/openSUSE, Gentoo, Arch и FreeBSD.

За изпълнение на привилегировани действия в smb4k се използват KAuth обработчици, стартирани с права root. Уязвимостите са налични в обработчика Smb4KMountHelper и са причинени от факта, че функции за монтиране (CVE-2025-66003) и демонтиране (CVE-2025-66002) на мрежовата файлова система не филтрират правилно опции, предавани на командите mount.cifs и unmount.cifs, позволявайки на непривилегирован потребител да предаде на тези команди произволни опции чрез параметъра mh_options.

Например, с опции «filemode=04777,uid=0» на всичките файлове в монтирания дял ще бъде зададен флаг suid root. Потребителят може да стартира SMB сървър и да монтира собствен дял с необходимите изпълними файлове, които при задаване на опциите «filemode=04777,uid=0» ще се изпълняват с root права.

В обработчика Smb4KMountHelper не са проверявани правилно целевите каталози, което, например, позволява монтиране на собствен SMB дял вместо каталога /bin и подмяна на съдържанието му с модифицирана версия на /bin/bash. Освен това, чрез параметъра mh_krb5ticket може да се промени пътят към файл с Kerberos удостоверения и да се изведе съдържанието на произволен файл, например, /etc/shadow, в stderr или публично достъпен лог.

Уязвимостта в функцията Smb4KMountHelper::unmount() може да се използва за предизвикване на отказ в обслужването, като се манипулира съдържанието на параметъра mh_mountpoint, за да се демонтират системни дялове. Интересното е, че в кода е имало проверка за тип на дяла, която пропуска само дялове cifs, smbfs и smb3, но в if блока за показване на грешка е пропуснат операторът «return», и изпълнението не е прекратявано.

Източник: opennet.ru