Detaljer har avsl\u00f6jats och en exploitering har publicerats f\u00f6r s\u00e5rbarheten CIFSwitch (CVE har \u00e4nnu inte tilldelats) i CIFS-k\u00e4rnmodulen och cifs-utils-verktygssatsen, som till\u00e5ter en icke-privilegierad anv\u00e4ndare att f\u00e5 root-rettigheter i systemet. En l\u00f6sning finns endast som en patch, som publicerades den 16 maj och godk\u00e4ndes den 19 maj i huvudgrenen av Linux-k\u00e4rnan (fixade k\u00e4rnutg\u00e5vor \u00e4r fortfarande inte tillg\u00e4ngliga). <\/p>\n
S\u00e5rbarheten p\u00e5verkar koden som st\u00f6djer mekanismen cifs.spnego f\u00f6r att autentisera via SPNEGO-protokollet (Simple and Protected GSSAPI Negotiation) vid anslutning till SMB-servrar. Vid anv\u00e4ndning av cifs.spnego f\u00f6r att h\u00e4mta nycklar fr\u00e5n Kerberos\/SPNEGO anropar k\u00e4rnan cifs.upcall-hanteraren, som tillhandah\u00e5lls av cifs-utils-paketet och k\u00f6rs i anv\u00e4ndarrummet med root-rettigheter. <\/p>\n
En icke-privilegierad anv\u00e4ndare kan initiera ett anrop av hanteraren genom att skicka en beg\u00e4ran som kr\u00e4ver mottagning av nyckeln «cifs.spnego», med en f\u00f6rfalskad beskrivning «CIFS SPNEGO». I hanteraren cifs.upcall utf\u00f6rs inga ytterligare kontroller av parametrarna som skickas via k\u00e4rnan, bland annat uppfattar den p\u00e5litliga v\u00e4rden f\u00f6r f\u00e4lten pid, uid, creduid och
\n upcall_target. N\u00e4r hanteraren aktiveras v\u00e4xlar cifs.upcall till anv\u00e4ndarprocessens namnomr\u00e5de fr\u00e5n vilket beg\u00e4ran skickades, och innan privilegierna \u00e5terst\u00e4lls utf\u00f6rs en s\u00f6kning i systemdatabasen NSS (Name Service Switch).<\/p>\n
En angripare kan starta sin process i ett separat namnomr\u00e5de f\u00f6r monteringspunkter, vilket leder till att en NSS-f\u00f6rfr\u00e5gan g\u00f6rs i dess kontext. F\u00f6r att utnyttja s\u00e5rbarheten r\u00e4cker det med att placera sin egen konfigurationsfil \/etc\/nsswitch.conf och en upps\u00e4ttning f\u00f6rfalskade bibliotek libnss_*.so.2 inom det angriparens skapade milj\u00f6n. En NSS-f\u00f6rfr\u00e5gan fr\u00e5n cifs.upcall-hanteraren leder till att de f\u00f6rfalskade biblioteken laddas med root-rettigheter.<\/p>\n
F\u00f6r att utnyttja s\u00e5rbarheten b\u00f6r systemet till\u00e5ta skapande av anv\u00e4ndaridentifieringsnamnomr\u00e5den (user namespace) eller monteringsnamnomr\u00e5den (mount namespace), och cifs-utils-paketet m\u00e5ste vara installerat i systemet. Distributioner d\u00e4r s\u00e5rbarheten kan utnyttjas med standardkonfiguration:<\/p>\n
Distributioner d\u00e4r installation av paketet cifs-utils kr\u00e4vs f\u00f6r att exploat\u00f6ren ska fungera: <\/p>\n
Distributioner d\u00e4r de standardinst\u00e4llningar som blockerar utnyttjande av s\u00e5rbarheter genom SELinux eller Apparmor anv\u00e4nds, \u00e4ven med paketet cifs-utils: <\/p>\n
Som en workaround kan man blockera automatisk laddning av cifs-k\u00e4rnmodulen:<\/p>\n
sh -c «printf ‘install cifs \/bin\/false\n’ > \/etc\/modprobe.d\/cifs.conf; rmmod cifs 2> \/dev\/null; true»<\/p>\n
Det g\u00e5r ocks\u00e5 att f\u00f6rbjuda anv\u00e4ndning av anv\u00e4ndarnamnrymd («sysctl -w kernel.unprivileged_userns_clone=0») och ta bort eller \u00e5sidos\u00e4tta regeln cifs.spnego i inst\u00e4llningarna f\u00f6r cifs-utils:<\/p>\n
cat > \/etc\/request-key.d\/cifs.spnego.conf <‘EOF’
\n create cifs.spnego * * \/usr\/sbin\/keyctl negate %k 30 %S
\n EOF<\/p>\n