Avalikustatud LPE-haavatavus CIFSwitch Linux CIFS/cifs-utilsis

Turvauuringute spetsialist Asim Manizada avastas haavatavuse CIFSwitch — kohalik tõus õigustes Linuxi ydre ja kasutaja paketi vahel cifs-utils. Probleem puudutab töötlemisteed CIFS/SMB Kerberos/SPNEGO upcall, ehk mehhanismi, mille kaudu CIFS-i ydre küsib kasutaja helper'ilt Kerberos autentimise andmeid SMB ressursside mountimise ajal. Kirjeldus avaldati pärast linux-distros embargo lõppu; avaldamise ajal ei olnud CVE identifikaator veel määratud.

Haavatavuse tuum seisneb selles, et mitteprivilegeeritud kasutaja sai kutsuda request_key("cifs.spnego", …) ja edastada vale võtme kirjelduse. Tavasena peaks sellise rea genereerima ise CIFS-i ydre: see sisaldab teavet serveri, UID, credential UID, PID, upcall'i sihtmärkide ja muude parameetrite kohta. Siiski ei kontrollinud ydre, et kirjeldus pärines tõepoolest CIFS alamüsteemist, ja cifs.upcall, mis käivitati root'i kaudu standardse request-key reeglina, usaldas neid välju kui ydre poolt loodud andmeid.

Haavatavus ei ole universaalne „auk igas Linuxi süsteemis“. Selle ära kasutamiseks peavad olema olemas mitmed tingimused: haavatava ydre olemasolu, installitud cifs-utils koos cifs.spnego reegliga, võimalus mitteprivilegeeritud kasutajatel luua user/mount namespaces, samuti SELinux, AppArmor või muu LSM poliitika puudumine. Oss-security sõnumis on eraldi mainitud, et haavatavates süsteemides avab see tee mitteprivilegeeritud kohalikule kasutajale root'i õigustega koodi täitmise.

Tehniliselt ehitatakse ahel ümber selle, et cifs.upcall võib liikuda vale kirjelduse korral tehtud nimedesse ja täita NSS-päringu enne privileegide täielikku tagastamist. Selle tulemusena võib ründaja kontrollitud keskkond mõjutada NSS mooduli laadimist root-protsessi poolt. Avalikes kirjeldustes rõhutatakse, et see on tõepoolest loogiline viga ydre ja kasutaja ruumi piiril, mitte klassikaline mälu rikkumise haavatavus.

Ydre parandamine osutus mahult väikseks: cifs.spnego võtmetüüpide jaoks lisati kontroll, mis kõrvaldab kirjeldused, mis ei olnud loodud CIFS-i ydre enda privaatsete spnego_cred'i poolt. Selline lähenemine sulgeb rünnakute klassi ilma cifs-utils'i kohustuslike sünkroonsete muudatusteta, kuigi autor rõhutab, et täiendav user space'i tugevdamine on endiselt soovitatav.

AlmaLinux teatas, et aluse loogika on saadaval kõigis toetatavates AlmaLinuxi väljaannetes, samas kui AlmaLinux 8, 9, 10 ja Kitten 10 peetakse mõjutatuks, kui cifs-utils on installitud. Patšeeritud kernlid on ette valmistatud testimisrepoos: AlmaLinux 9 jaoks on näidatud pakett kernel-5.14.0-687.5.4.el9_8 või uuem, AlmaLinux 10 jaoks — kernel-6.12.0-211.7.4.el10_2 või uuem.

Ajutiste meetmetena enne parandatud kernli installimist soovitatakse eemaldada cifs-utils, kui SMB/CIFS-klienti süsteemis ei kasutata, keelata cifs mooduli laadimine, muuta cifs.spnego reeglit request-key-s või keelata privileegita kasutaja nimeta. Need ringi hiilimismeetmed võivad rikkuda Kerberose autentimise CIFS-monteeringutele, seega tuleks nende rakendamist ettevaatlikult käsitleda serverites, kus tõeliselt kasutatakse Kerberos-autoriseeritud SMB-jagat.

CIFSwitch on huvitav ka avastamise konteksti tõttu: autor kirjeldab seda kui tulemust, mis tuleneb mitmeastmeliste ahelate otsimisest LLM-i ja objekti turvaelementide sidemete graafilise esitluse abil. Kuid praktiline järeldus administraatoritele on üsna maine: kontrollida cifs-utils olemasolu, kasutaja nimeta staatust ja kernli värskendusi, eriti süsteemides, kus on kohalikke kasutajaid või konteineritooted koos laiendatud nimeta võimalustega.

Allikas: linux.org.ru