{"id":181809,"date":"2026-05-30T14:48:10","date_gmt":"2026-05-30T12:48:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnarodovana-lpe-uyazvimost-cifswitch-v-linux-cifs-cifs-utils"},"modified":"2026-05-30T14:48:10","modified_gmt":"2026-05-30T12:48:10","slug":"obnarodovana-lpe-uyazvimost-cifswitch-v-linux-cifs-cifs-utils","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/obnarodovana-lpe-uyazvimost-cifswitch-v-linux-cifs-cifs-utils","title":{"rendered":"Vulnerabilit\u00e0 LPE CIFSwitch resa nota in Linux CIFS\/cifs-utils","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ricercatore di sicurezza Asim Manizada<\/strong> ha rivelato una vulnerabilit\u00e0 CIFSwitch<\/strong> \u2014 elevazione locale dei privilegi in un legame tra il kernel Linux e un pacchetto utente cifs-utils<\/strong>. Il problema riguarda il percorso di elaborazione CIFS\/SMB Kerberos\/SPNEGO upcall<\/strong>, cio\u00e8 il meccanismo attraverso il quale il client CIFS del kernel richiede dati per l'autenticazione Kerberos a un helper utente durante il montaggio delle risorse SMB. La descrizione \u00e8 stata pubblicata dopo la scadenza del divieto di linux-distros; l'ID CVE non era ancora stato assegnato al momento della pubblicazione.<\/p>\n

<\/p>\n

Il punto della vulnerabilit\u00e0 \u00e8 che<\/a>, che un utente non privilegiato potesse invocare request_key("cifs.spnego", …) e fornire una descrizione del chiave falsa. In uno scenario normale, questa stringa dovrebbe essere generata dal client CIFS del kernel: contiene informazioni sul server, UID, UID delle credenziali, PID, obiettivo dell'upcall e altri parametri. Tuttavia, il kernel non verificava che la descrizione provenisse effettivamente dal sottosistema CIFS, e cifs.upcall, eseguito come root tramite la regola standard request-key, si fidava di questi campi come se fossero stati creati dal kernel.<\/p>\n

<\/noindex><\/noindex><\/p>\n

<\/p>\n

La vulnerabilit\u00e0 non \u00e8 universale<\/a> \u00abuna falla in qualsiasi Linux out-of-the-box\u00bb. Per sfruttarla, devono verificarsi diverse condizioni: deve esserci un kernel vulnerabile, cifs-utils installato con la regola cifs.spnego, la possibilit\u00e0 per utenti non privilegiati di creare spazi dei nomi user\/mount e l'assenza di blocchi da parte di SELinux, AppArmor o altre politiche LSM. Nel messaggio su oss-security si specifica inoltre che, sui sistemi vulnerabili, questo consente di passare da un utente locale non privilegiato all'esecuzione di codice come root.<\/p>\n

<\/noindex>
\n<\/p>\n

Tecnicamente la catena si costruisce attorno a quello<\/a>, che cifs.upcall pu\u00f2 passare negli spazi dei nomi specificati nella falsa descrizione e effettuare una richiesta NSS fino al rinvio finale dei privilegi. Di conseguenza, un ambiente controllato dall'attaccante pu\u00f2 influenzare il caricamento del modulo NSS da parte del processo root. Nei resoconti pubblici si sottolinea che si tratta di un errore logico al confine tra kernel e user space, e non di una classica vulnerabilit\u00e0 di corruzione della memoria.<\/p>\n

<\/noindex><\/p>\n

La correzione nel kernel si \u00e8 rivelata di dimensioni contenute: per il tipo di chiavi cifs.spnego \u00e8 stata aggiunta una verifica che rifiuta le descrizioni create non dal client CIFS con le sue credenziali spnego_cred private. Questo approccio chiude una classe di attacchi senza modifiche sincrone obbligatorie in cifs-utils, sebbene l'autore sottolinei che un ulteriore rafforzamento nel user space sia comunque auspicabile.<\/p>\n

<\/p>\n

AlmaLinux ha comunicato<\/a>, che la logica di base \u00e8 presente in tutte le versioni supportate di AlmaLinux, e che AlmaLinux 8, 9, 10 e Kitten 10 sono considerati colpiti se cifs-utils \u00e8 installato. I kernel patchati sono stati preparati nei repository di testing: per AlmaLinux 9 \u00e8 indicato il pacchetto kernel-5.14.0-687.5.4.el9_8 o successivo, per AlmaLinux 10 \u2013 kernel-6.12.0-211.7.4.el10_2 o successivo.<\/p>\n

<\/noindex><\/p>\n

Come misure temporanee fino all'installazione del kernel corretto, si suggerisce di rimuovere cifs-utils se il client SMB\/CIFS non viene utilizzato nel sistema, vietare il caricamento del modulo cifs, sovrascrivere la regola cifs.spnego in request-key o disabilitare i namespace utente non privilegiati. Queste misure di emergenza possono compromettere l'autenticazione Kerberos per i mount CIFS, quindi sui server dove si utilizzano realmente condivisioni SMB authenticate con Kerberos, devono essere applicate con cautela.<\/p>\n

CIFSwitch \u00e8 interessante anche per il contesto della rilevazione: l'autore la descrive come risultato della ricerca di catene multistep utilizzando LLM e la rappresentazione grafica delle relazioni tra gli oggetti di sicurezza. Tuttavia, la conclusione pratica per gli amministratori \u00e8 piuttosto concreta: verificare la presenza di cifs-utils, lo stato dei namespaces utente e gli aggiornamenti del kernel, specialmente sui sistemi con utenti locali o scenari containerizzati con capacit\u00e0 avanzate di namespace.<\/p>\n

Fonte: linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 Asim Manizada \u0440\u0430\u0441\u043a\u0440\u044b\u043b \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c CIFSwitch \u2014 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0435 \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439 \u0432 \u0441\u0432\u044f\u0437\u043a\u0435 \u044f\u0434\u0440\u0430 Linux \u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u043e\u0433\u043e \u043f\u0430\u043a\u0435\u0442\u0430 cifs-utils. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u0435\u0442 \u043f\u0443\u0442\u044c \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 CIFS\/SMB Kerberos\/SPNEGO upcall, \u0442\u043e \u0435\u0441\u0442\u044c \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c, \u0447\u0435\u0440\u0435\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0439 CIFS-\u043a\u043b\u0438\u0435\u043d\u0442 \u044f\u0434\u0440\u0430 \u0437\u0430\u043f\u0440\u0430\u0448\u0438\u0432\u0430\u0435\u0442 \u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u043e\u0433\u043e helper\u2019\u0430 \u0434\u0430\u043d\u043d\u044b\u0435 \u0434\u043b\u044f Kerberos-\u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043f\u0440\u0438 \u043c\u043e\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 SMB-\u0440\u0435\u0441\u0443\u0440\u0441\u043e\u0432. \u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043e \u043f\u043e\u0441\u043b\u0435 \u0438\u0441\u0442\u0435\u0447\u0435\u043d\u0438\u044f \u044d\u043c\u0431\u0430\u0440\u0433\u043e linux-distros; \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 CVE \u043d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u0435\u0449\u0451 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-181809","post","type-post","status-publish","format-standard","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Rivelata vulnerabilit\u00e0 LPE di CIFSwitch in Linux CIFS\/cifs-utils | ProHoster","description":"Il ricercatore di sicurezza Asim Manizada ha rivelato una vulnerabilit\u00e0 di CIFSwitch \u2014 un elevamento locale dei privilegi nel kernel di Linux e nel pacchetto utente cifs-utils. Il problema riguarda il percorso di elaborazione CIFS\/SMB Kerberos\/SPNEGO upcall, cio\u00e8 il meccanismo attraverso il quale il client CIFS del kernel richiede al helper utente dati per l'autenticazione Kerberos al momento del montaggio delle risorse SMB. La descrizione \u00e8 stata pubblicata dopo la scadenza del blocco per linux-distros; l'ID CVE al momento della pubblicazione non era ancora disponibile.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/obnarodovana-lpe-uyazvimost-cifswitch-v-linux-cifs-cifs-utils","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0431\u043d\u0430\u0440\u043e\u0434\u043e\u0432\u0430\u043d\u0430 LPE-\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c CIFSwitch \u0432 Linux CIFS\/cifs-utils | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 Asim Manizada \u0440\u0430\u0441\u043a\u0440\u044b\u043b \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c CIFSwitch \u2014 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0435 \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439 \u0432 \u0441\u0432\u044f\u0437\u043a\u0435 \u044f\u0434\u0440\u0430 Linux \u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u043e\u0433\u043e \u043f\u0430\u043a\u0435\u0442\u0430 cifs-utils. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u0435\u0442 \u043f\u0443\u0442\u044c \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 CIFS\/SMB Kerberos\/SPNEGO upcall, \u0442\u043e \u0435\u0441\u0442\u044c \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c, \u0447\u0435\u0440\u0435\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0439 CIFS-\u043a\u043b\u0438\u0435\u043d\u0442 \u044f\u0434\u0440\u0430 \u0437\u0430\u043f\u0440\u0430\u0448\u0438\u0432\u0430\u0435\u0442 \u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u043e\u0433\u043e helper\u2019\u0430 \u0434\u0430\u043d\u043d\u044b\u0435 \u0434\u043b\u044f Kerberos-\u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043f\u0440\u0438 \u043c\u043e\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 SMB-\u0440\u0435\u0441\u0443\u0440\u0441\u043e\u0432. \u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043e \u043f\u043e\u0441\u043b\u0435 \u0438\u0441\u0442\u0435\u0447\u0435\u043d\u0438\u044f \u044d\u043c\u0431\u0430\u0440\u0433\u043e linux-distros; \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 CVE \u043d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u0435\u0449\u0451","og:url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/obnarodovana-lpe-uyazvimost-cifswitch-v-linux-cifs-cifs-utils","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-05-30T12:48:10+00:00","article:modified_time":"2026-05-30T12:48:10+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/181809","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=181809"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/181809\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=181809"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=181809"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=181809"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}