In der smb4k-Anwendung, die in KDE zur Erkennung und Einbindung von SMB-Partitionen verwendet wird, wurden Sicherheitsanfälligkeiten entdeckt, die den Root-Zugriff auf das System ermöglichen. Die Probleme wurden in der Version Smb4K 4.0.5 behoben. Der Status der neuen Version des Pakets oder der Vorbereitungen eines Fixes in den Distributionen kann auf den folgenden Seiten überprüft werden: Debian, Ubuntu, Fedora, SUSE/openSUSE, Gentoo, Arch und FreeBSD.
Für die Ausführung privilegierter Aktionen in smb4k werden KAuth-Handler verwendet, die mit Root-Rechten ausgeführt werden. Sicherheitsanfälligkeiten bestehen im Handler Smb4KMountHelper und resultieren daraus, dass die Funktionen zum Einbinden (CVE-2025-66003) und Ausbinden (CVE-2025-66002) von Netzwerkdateisystemen die an die Befehle mount.cifs und unmount.cifs übergebenen Optionen nicht korrekt filtriert haben, was es einem nicht privilegierten Benutzer ermöglichte, diesen Befehlen beliebige Optionen über den Parameter mh_options zu übergeben.
Zum Beispiel wird mit den Optionen „filemode=04777,uid=0“ allen Dateien in der eingebundenen Partition das suid root-Flag gesetzt. Der Benutzer kann einen SMB-Server starten und seine eigene Partition mit den erforderlichen ausführbaren Dateien einbinden, die bei Verwendung der Optionen „filemode=04777,uid=0“ mit Root-Rechten ausgeführt werden.
Im Handler Smb4KMountHelper wurden auch die Zielverzeichnisse nicht korrekt überprüft, was es beispielsweise ermöglichte, seine SMB-Partition anstelle des Verzeichnisses /bin einzubinden und eine modifizierte Version von /bin/bash dort einzufügen. Darüber hinaus kann über den Parameter mh_krb5ticket der Pfad zur Kerberos-Anmeldeinformationsdatei geändert werden, um den Inhalt einer beliebigen Datei, zum Beispiel /etc/shadow, in stderr oder einem öffentlich zugänglichen Log auszugeben.
Die Sicherheitsanfälligkeit in der Funktion Smb4KMountHelper::unmount() kann für einen Denial-of-Service-Angriff durch das Ausbinden von Systempartitionen verwendet werden, indem der Inhalt des Parameters mh_mountpoint manipuliert wird. Interessant ist, dass im Code eine Überprüfung des Partitionstyps stattfand, die nur cifs-, smbfs- und smb3-Partitionen durchließ, jedoch im if-Block für die Ausgabe eines Fehlers der „return“-Operator ausgelassen wurde, sodass die Ausführung nicht unterbrochen wurde.
Quelle: opennet.ru
