Biztonsági kutató Asim Manizada felfedte a sérülékenységet CIFSwitch — helyi jogosultságnövelés a Linux kernel és egy felhasználói csomag kombinációjában cifs-utils. A probléma érinti a feldolgozási utat CIFS/SMB Kerberos/SPNEGO upcall, azaz a mechanizmus, amelyen keresztül a CIFS kernel kliens kéri a felhasználói segédprogramtól a Kerberos hitelesítési adatait SMB erőforrások csatolásakor. A leírás a linux-distros embargójának lejárta után lett közzétéve; a CVE azonosítót a közzététel időpontjában még nem kapták meg.
A sérülékenység lényege az, hogy egy nem privilegizált felhasználó hívhatja a request_key("cifs.spnego", …) parancsot, és hamis kulcsleírást adhat meg. Normális körülmények között ezt a sort a CIFS kernel kliensnek kellene generálnia: a szerverről, UID-ról, hitelesítő UID-ról, PID-ről, upcall céljáról és egyéb paraméterekről tartalmaz információt. Azonban a kernel nem ellenőrizte, hogy a leírás valóban a CIFS alrendszertől származik-e, és a root joggal futó cifs.upcall megbízottként kezelte ezeket a mezőket, mint a kernel által létrehozott adatokat.
A sérülékenység nem egy általános „lyuk bármely dobozos Linuxban”. Az kihasználásához számos feltételnek kell teljesülnie: sebezhető kernel megléte, a cifs-utils telepítése a cifs.spnego szabállyal, a nem privilegizált felhasználók számára lehetőség a user/mount névtér létrehozására, valamint az SELinux, AppArmor vagy más LSM politika általi megszorítások hiánya. Az oss-security üzenetben külön említik, hogy a sebezhető rendszereken ez lehetőséget ad a nem privilegizált helyi felhasználónak, hogy root jogosultsággal kódot futtasson.
Technikailag a láncolatot az építi fel, hogy, hogy a cifs.upcall beléphet a hamis leírásban megadott néptérbe, és NSS-lekérdezést végezhet a privilégiumok végső visszaállítása előtt. Ennek eredményeként a támadó által vezérelt környezet befolyásolhatja az NSS modul betöltését a root folyam által. A nyilvános leírások hangsúlyozzák, hogy ez tényleg egy logikai hiba a kernel és a user space határán, nem pedig klasszikus memóriakorrupciós sérülékenység.
A kernelben végrehajtott javítás kicsi volt: a cifs.spnego kulcstípusra ellenőrzést adtak hozzá, amely elutasítja azokat a leírásokat, amelyeket nem maga a CIFS kliens hozott létre a privát spnego_cred-jével. Ez a megközelítés lezárja a támadások egy osztályát anélkül, hogy kötelező szinkron változtatásokra lenne szükség a cifs-utils-ban, bár a szerző megjegyzi, hogy a user space kiegészítő megerősítése még mindig kívánatos.
Az AlmaLinux jelentette, hogy az alapvető logika minden támogatott AlmaLinux kiadásban jelen van, és az AlmaLinux 8, 9, 10 és a Kitten 10 érintettnek számít, amennyiben a cifs-utils telepítve van. A javított kernel verziók a testing-repozitóriumokban készültek: AlmaLinux 9 esetén a kernel-5.14.0-687.5.4.el9_8 vagy újabb, AlmaLinux 10 esetén pedig a kernel-6.12.0-211.7.4.el10_2 vagy újabb.
Ideiglenes intézkedésként, a javított kernel telepítése előtt javasolt eltávolítani a cifs-utils-t, ha a SMB/CIFS kliens nem használatos a rendszeren, letiltani a cifs modult, felülírni a cifs.spnego szabályt a request-key-ben, vagy letiltani a nem privilégizált user namespace-eket. Ezek az áthidaló megoldások megsérthetik a Kerberos-hitelesítést a CIFS-montázsoknál, ezért olyan szervereken, ahol valós kerberos-hitelesített SMB megosztások használatosak, óvatosan kell alkalmazni őket.
A CIFSwitch a felfedezés kontextusa miatt is érdekes: a szerző úgy írja le, mint a több lépéses láncolatok keresésének eredményét, amelyeket LLM és a biztonsági objektumok közötti kapcsolatok gráfos megjelenítése révén találtak. Azonban a gyakorlati következtetés az adminisztrátorok számára meglehetősen földhözragadt: ellenőrizni kell a cifs-utils jelenlétét, a user namespace állapotát és a kernel frissítéseit, különösen azokon a rendszereken, ahol helyi felhasználók vagy olyan konténerforgatókönyvek vannak, amelyek kiterjesztett namespace lehetőségekkel rendelkeznek.
Forrás: linux.org.ru
