LPE-sårbarheten CIFSwitch publisert i Linux CIFS/cifs-utils

Sikkerhetsforsker Asim Manizada har avdekket en sårbarhet CIFSwitch — lokal heving av privilegier i sammenheng med Linux-kjernen og et brukerpakke cifs-utils. Problemet berører måten CIFS/SMB Kerberos/SPNEGO oppkall, det vil si mekanismen der CIFS-klienten i kjernen ber bruker-hjelperen om data for Kerberos-autentisering ved montering av SMB-ressurser. Beskrivelsen ble publisert etter utløp av embargoet fra linux-distros; CVE-identifikatoren var ikke tildelt på publiseringstidspunktet.

Kjernen i sårbarheten er at, en ikke-privilegert bruker kunne påkalle request_key("cifs.spnego", …) og sende et falskt beskrivelse av nøkkelen. Under normale omstendigheter burde denne strengen være generert av CIFS-klienten i kjernen: den inneholder informasjon om serveren, UID, credential UID, PID, formålet med oppkallet og andre parametere. Imidlertid sjekket ikke kjernen om beskrivelsen faktisk kom fra CIFS-subsystemet, og cifs.upcall, som kjører som root gjennom standardreglen for request-key, stole på disse feltene som om de var generert av kjernen.

Sårbarheten er ikke en universell «hull i hvilken som helst Linux out-of-the-box». For å utnytte den må flere betingelser være til stede: sårbar kjerne, installert cifs-utils med regelen cifs.spnego, mulighet for ikke-priviligerte brukere til å opprette user/mount namespaces, samt fravær av blokkering fra SELinux, AppArmor eller annen LSM-politikk. I en melding på oss-security ble det spesifikt nevnt at på sårbare systemer gir dette veien fra en ikke-privilegert lokal bruker til å utføre kode som root.

Teknisk sett bygger kjeden rundt det, at cifs.upcall kan gå inn i romnavnene angitt i den falske beskrivelsen og utføre en NSS-forespørsel før privilegiene tilbakestilles. Som et resultat kan et av angriperen kontrollert miljø påvirke lasting av NSS-modulen av root-prosessen. I offentlige beskrivelser understrekes det at dette er en logisk feil på grensen mellom kjernen og brukerplassen, og ikke en klassisk sårbarhet innen minnekorruptjon.

Fiksen i kjernen viste seg å være liten i omfang: det ble lagt til en sjekk for nøkkeltypene cifs.spnego, som avviser beskrivelser som ikke er generert av CIFS-klienten med sine private spnego_cred. Denne tilnærmingen lukker en klasse angrep uten nødvendige synkrone endringer i cifs-utils, selv om forfatteren bemerker at ytterligere styrking av brukerplassen fortsatt er ønskelig.

AlmaLinux rapporterte, at den grunnleggende logikken er til stede i alle støttede utgaver av AlmaLinux, mens AlmaLinux 8, 9, 10 og Kitten 10 regnes som berørt dersom cifs-utils er installert. De patchede kjernene er klargjort i testing-repositoriene: for AlmaLinux 9 er pakken kernel-5.14.0-687.5.4.el9_8 eller nyere angitt, for AlmaLinux 10 — kernel-6.12.0-211.7.4.el10_2 eller nyere.

Som midlertidige tiltak før installasjon av den korrigerte kjernen, foreslås det å fjerne cifs-utils hvis SMB/CIFS-klienten ikke benyttes på systemet, forby lasting av cifs-modulen, overstyre regelen cifs.spnego i request-key, eller deaktivere ikke-privilegerte brukernamespaces. Disse omgåelsene kan bryte Kerberos-autentiseringen for CIFS-mounts, så på servere hvor Kerberos-autentiserte SMB-deler faktisk brukes, bør de brukes med forsiktighet.

CIFSwitch er også interessant i konteksten for oppdagelse: forfatteren beskriver den som et resultat av å søke i flertallige kjeder ved hjelp av LLM og grafisk fremstilling av forbindelser mellom sikkerhetsobjekter. Men den praktiske konklusjonen for administratorer er ganske jordnær: sjekk etter cifs-utils, tilstanden til brukernamespaces og kjerneoppdateringer, spesielt på systemer med lokale brukere eller container-scenarier med utvidede namespace-funksjoner.

Kilde: linux.org.ru