Opublikowano szczeg\u00f3\u0142y oraz exploit dotycz\u0105cy luki w CIFSwitch (CVE jeszcze nie przypisany) w module j\u0105dra CIFS oraz narz\u0119dziach cifs-utils, kt\u00f3ra pozwala u\u017cytkownikowi bez uprawnie\u0144 na uzyskanie praw root w systemie. Poprawka jest dost\u0119pna tylko w postaci \u0142atki, kt\u00f3ra zosta\u0142a opublikowana 16 maja, a 19 maja przyj\u0119ta do g\u0142\u00f3wnej ga\u0142\u0119zi j\u0105dra Linux (poprawki j\u0105dra jeszcze nie s\u0105 dost\u0119pne). <\/p>\n
Luka dotyczy kodu, kt\u00f3ry zapewnia obs\u0142ug\u0119 mechanizmu cifs.spnego do realizacji uwierzytelnienia za pomoc\u0105 protoko\u0142u SPNEGO (Simple and Protected GSSAPI Negotiation) przy po\u0142\u0105czeniu z serwerami SMB. Przy u\u017cyciu cifs.spnego do ustalania kluczy z Kerberos\/SPNEGO, j\u0105dro wywo\u0142uje handler cifs.upcall, dostarczany przez pakiet cifs-utils, kt\u00f3ry dzia\u0142a w przestrzeni u\u017cytkownika z prawami root. <\/p>\n
U\u017cytkownik nieuprzywilejowany mo\u017ce zainicjowa\u0107 wywo\u0142anie handlera, wysy\u0142aj\u0105c \u017c\u0105danie wymagaj\u0105ce uzyskania klucza «cifs.spnego», z fa\u0142szywym opisem «CIFS SPNEGO». W handlerze cifs.upcall nie s\u0105 przeprowadzane dodatkowe kontrole poprawno\u015bci parametr\u00f3w przekazywanych przez j\u0105dro, w tym odbierane s\u0105 zaufane warto\u015bci p\u00f3l pid, uid, creduid oraz
\n upcall_target. Po uruchomieniu, handler cifs.upcall prze\u0142\u0105cza si\u0119 do przestrzeni nazw procesu u\u017cytkownika, przez kt\u00f3ry wys\u0142ano \u017c\u0105danie, i przed zresetowaniem uprawnie\u0144 przeszukuje baz\u0119 systemow\u0105 NSS (Name Service Switch).<\/p>\n
Atakuj\u0105cy mo\u017ce uruchomi\u0107 sw\u00f3j proces w oddzielnej przestrzeni nazw punkt\u00f3w montowania, co spowoduje realizacj\u0119 zapytania do NSS w jego kontek\u015bcie. Aby wykorzysta\u0107 luk\u0119, wystarczy w utworzonej przez atakuj\u0105cego przestrzeni umie\u015bci\u0107 w\u0142asny plik konfiguracyjny \/etc\/nsswitch.conf oraz zestaw podst\u0119pnych bibliotek libnss_*.so.2. Wykonanie zapytania NSS przez handler cifs.upcall spowoduje za\u0142adowanie podstawionych przez atakuj\u0105cego bibliotek z prawami root.<\/p>\n
Aby wykorzysta\u0107 luk\u0119, w systemie musi by\u0107 dozwolone tworzenie przestrzeni nazw identyfikator\u00f3w u\u017cytkownik\u00f3w (user namespace) lub punkt\u00f3w montowania (mount namespace), a tak\u017ce wymagany jest zainstalowany w systemie pakiet cifs-utils. Dystrybucje, w kt\u00f3rych mo\u017cliwa jest exploatacja luki w domy\u015blnej konfiguracji:<\/p>\n
Dystrybucje, kt\u00f3re wymagaj\u0105 zainstalowania pakietu cifs-utils do dzia\u0142ania exploita: <\/p>\n
Dystrybucje, w kt\u00f3rych domy\u015blna konfiguracja stosuje ustawienia blokuj\u0105ce wykorzystanie luki przez SELinux lub Apparmor, nawet przy zainstalowanym pakiecie cifs-utils: <\/p>\n
Jako obej\u015bcie ochrony mo\u017cna zablokowa\u0107 automatyczne \u0142adowanie modu\u0142u j\u0105dra cifs:<\/p>\n
sh -c «printf ‘install cifs \/bin\/false\n’ > \/etc\/modprobe.d\/cifs.conf; rmmod cifs 2>\/dev\/null; true»<\/p>\n
Mo\u017cna r\u00f3wnie\u017c zabroni\u0107 u\u017cywania przestrzeni nazw u\u017cytkownik\u00f3w («sysctl -w kernel.unprivileged_userns_clone=0») oraz usun\u0105\u0107 lub nadpisa\u0107 regu\u0142\u0119 cifs.spnego w ustawieniach cifs-utils:<\/p>\n
cat >\/etc\/request-key.d\/cifs.spnego.conf <‘EOF’
\n create cifs.spnego * * \/usr\/sbin\/keyctl negate %k 30 %S
\n EOF<\/p>\n