Les d\u00e9tails ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9s et un exploit a \u00e9t\u00e9 publi\u00e9 pour la vuln\u00e9rabilit\u00e9 CIFSwitch (CVE non encore attribu\u00e9) dans le module du noyau CIFS et l\u2019outil cifs-utils, permettant \u00e0 un utilisateur non privil\u00e9gi\u00e9 d\u2019obtenir des droits root sur le syst\u00e8me. Le correctif est disponible uniquement sous forme de patch, publi\u00e9 le 16 mai, et accept\u00e9 dans la branche principale du noyau Linux le 19 mai (les versions corrig\u00e9es du noyau ne sont pas encore disponibles). <\/p>\n
La vuln\u00e9rabilit\u00e9 concerne le code assurant le support du m\u00e9canisme cifs.spnego pour effectuer l'authentification via le protocole SPNEGO (Simple and Protected GSSAPI Negotiation) lors de la connexion aux serveurs SMB. Lors de l'utilisation de cifs.spnego pour d\u00e9terminer les cl\u00e9s \u00e0 partir de Kerberos\/SPNEGO, le noyau appelle le gestionnaire cifs.upcall, fourni par le paquet cifs-utils et ex\u00e9cut\u00e9 dans l'espace utilisateur avec des droits root. <\/p>\n
Un utilisateur non privil\u00e9gi\u00e9 peut initier un appel de gestionnaire en envoyant une requ\u00eate n\u00e9cessitant l'obtention de la cl\u00e9 «cifs.spnego», avec une description falsifi\u00e9e «CIFS SPNEGO». Dans le gestionnaire cifs.upcall, aucune v\u00e9rification suppl\u00e9mentaire de la validit\u00e9 des param\u00e8tres transmis par le noyau n'est effectu\u00e9e. Parmi d'autres, il consid\u00e8re les valeurs fiables des champs pid, uid, creduid et
\n upcall_target comme \u00e9tant fiables. Une fois activ\u00e9, le gestionnaire cifs.upcall se d\u00e9place dans les espaces de noms du processus utilisateur par lequel la requ\u00eate a \u00e9t\u00e9 envoy\u00e9e, et, avant la r\u00e9initialisation des privil\u00e8ges, il effectue une recherche dans la base de donn\u00e9es syst\u00e8me NSS (Name Service Switch).<\/p>\n
L\u2019attaquant peut lancer son propre processus dans un espace de noms de points de montage distinct, ce qui entra\u00eenera l'ex\u00e9cution d'une requ\u00eate NSS dans son contexte. Pour exploiter la vuln\u00e9rabilit\u00e9, il suffit que l\u2019environnement cr\u00e9\u00e9 par l\u2019attaquant contienne son propre fichier de configuration \/etc\/nsswitch.conf et un ensemble de biblioth\u00e8ques sous-stitu\u00e9es libnss_*.so.2. L'ex\u00e9cution d'une requ\u00eate NSS par le gestionnaire cifs.upcall entra\u00eenera le chargement des biblioth\u00e8ques substitu\u00e9es par l'attaquant avec des droits root.<\/p>\n
Pour exploiter la vuln\u00e9rabilit\u00e9, le syst\u00e8me doit permettre la cr\u00e9ation d'espaces de noms d'identificateurs d'utilisateurs (user namespace) ou de points de montage (mount namespace), et le paquet cifs-utils doit \u00eatre install\u00e9 dans le syst\u00e8me. Les distributions o\u00f9 l'exploitation de la vuln\u00e9rabilit\u00e9 est possible avec une configuration par d\u00e9faut comprennent :<\/p>\n
Les distributions pour lesquelles l'installation du paquet cifs-utils est requise pour le fonctionnement de l'exploit : <\/p>\n
Les distributions o\u00f9 la configuration par d\u00e9faut applique des param\u00e8tres bloquant l'exploitation de la vuln\u00e9rabilit\u00e9 via SELinux ou Apparmor, m\u00eame avec le paquet cifs-utils : <\/p>\n
Comme solution de contournement de protection, vous pouvez bloquer le chargement automatique du module noyau cifs :<\/p>\n
sh -c «printf ‘install cifs \\\/bin\\\/false\n’ > \\\/etc\\\/modprobe.d\\\/cifs.conf; rmmod cifs 2>\\\/dev\\\/null; true»<\/p>\n
Il est \u00e9galement possible d'interdire l'utilisation de l'espace utilisateur non privil\u00e9gi\u00e9 («sysctl -w kernel.unprivileged_userns_clone=0») et de supprimer ou de red\u00e9finir la r\u00e8gle cifs.spnego dans les param\u00e8tres de cifs-utils :<\/p>\n
cat >\\\/etc\\\/request-key.d\\\/cifs.spnego.conf <‘EOF’
\n create cifs.spnego * * \/usr\/sbin\/keyctl negate %k 30 %S
\n EOF<\/p>\n