19-letnia luka w jądrze Linuxa pozwala na eskalację uprawnień. Które dystrybucje są zagrożone?

W jądrze Linuxa odkryto podatność, która przez 19 lat umożliwiała lokalnym użytkownikom uzyskanie pełnych uprawnień administratora (root). Błąd, nazwany CIFSwitch, tkwi w podsystemie CIFS obsługującym protokół sieciowy SMB. SpaceX Security Engineer Asim Viladi Oglu Manizada opisał mechanizm ataku, a główne dystrybucje Linuxa opublikowały już łatki. Administratorzy powinni jak najszybciej sprawdzić, czy ich systemy są podatne, i zastosować aktualizacje.

Czym jest CIFSwitch i jak działa?

Podatność dotyczy podsystemu CIFS w jądrze Linuxa oraz narzędzia userspace cifs-utils, które odpowiada za uwierzytelnianie podczas montowania zasobów SMB. Gdy jądro chce uwierzytelnić montowanie, wysyła żądanie (request_key) do przestrzeni użytkownika w poszukiwaniu klucza cifs.spnego. Żądanie to jest obsługiwane przez program cifs.upcall, który działa z uprawnieniami roota.

Jak wyjaśnia Manizada, jądro nie sprawdza, skąd pochodzi żądanie ani jaka jest treść opisu klucza. Atakujący z niskimi uprawnieniami może bezpośrednio wywołać funkcję request_key, dostarczając własny opis klucza zawierający m.in. pole PID. Ponieważ cifs.upcall jest uruchamiane jako root, przełącza się ono do przestrzeni nazw (namespace) procesu o podanym PID, co daje atakującemu kontrolę nad wykonaniem kodu z uprawnieniami roota. Co więcej, przed obniżeniem uprawnień program wykonuje wyszukiwanie kont przez Name Service Switch (NSS), co pozwala na załadowanie fałszywego modułu NSS dostarczonego przez atakującego. W efekcie dochodzi do eskalacji uprawnień do poziomu roota.

Które dystrybucje są zagrożone?

Badacz wskazał, że podatność dotyczy dystrybucji, które mają domyślnie zainstalowane pakiety cifs-utils. Należą do nich m.in. Linux Mint, CentOS, Rocky Linux, Kali Linux, AlmaLinux oraz SLES SAP. W niektórych innych dystrybucjach pakiet ten trzeba ręcznie doinstalować, aby system stał się podatny – dotyczy to np. Ubuntu, Fedory, CentOS, Rocky Linux, AlmaLinux, Oracle Linux, openSUSE i SLES. W tych systemach domyślna konfiguracja blokuje ścieżkę ataku. Natomiast Amazon Linux 2 KVM i Kali Linux 2019.4/2020.4 nie są podatne.

Co istotne, wiele popularnych dystrybucji, takich jak Ubuntu, Fedora czy nowsze wersje Kali, domyślnie nie są narażone, ale administratorzy, którzy ręcznie zainstalowali cifs-utils, powinni sprawdzić stan swoich systemów.

Jak się chronić? Łatki i detekcja

Główne dystrybucje Linuxa wdrożyły już poprawki na początku czerwca 2026 roku. Administratorzy powinni niezwłocznie zaktualizować jądro oraz pakiet cifs-utils do najnowszych wersji dostępnych w repozytoriach swojej dystrybucji. W przypadku systemów, które nie mogą być natychmiast zaktualizowane, można zastosować tymczasowe obejście polegające na ograniczeniu dostępu do wywołania request_key dla nieuprzywilejowanych użytkowników za pomocą polityk SELinux lub AppArmor.

Manizada opublikował kod proof-of-concept, który – jak podkreśla – ma pomóc „obrońcom w walidacji poprawek, zabezpieczeń, detekcji i ekspozycji”. Administratorzy mogą wykorzystać ten kod w kontrolowanych środowiskach testowych, aby upewnić się, że łatki zostały poprawnie zastosowane. Należy jednak pamiętać, że kod ten nie powinien być uruchamiany na systemach produkcyjnych bez odpowiednich zabezpieczeń.

Co oznacza ta podatność dla polskich firm i administratorów?

Podatność CIFSwitch ma poważne konsekwencje dla środowisk serwerowych i stacji roboczych, które korzystają z protokołu SMB – popularnego w sieciach mieszanych (Linux + Windows). W polskich firmach, gdzie Linux jest często używany jako serwer plików, kontroler domeny (Samba) lub w chmurze prywatnej, lokalna eskalacja uprawnień może doprowadzić do przejęcia całego systemu przez osobę z ograniczonym kontem. To z kolei może umożliwić kradzież danych, instalację backdoorów czy rozprzestrzenianie się ataku w sieci wewnętrznej.

Warto zaznaczyć, że podatność wymaga lokalnego dostępu do systemu – nie można jej wykorzystać zdalnie bez uprzedniego uzyskania niskopoziomowego konta. Niemniej jednak, w przypadku naruszenia konta użytkownika (np. przez phishing lub słabe hasło), atakujący może łatwo podnieść swoje uprawnienia do roota. Dlatego tak ważne jest szybkie łatanie oraz monitorowanie logów pod kątem nietypowych wywołań związanych z CIFS.

Podsumowanie i dalsze kroki

Podatność CIFSwitch to kolejny przykład, jak długo mogą utrzymywać się błędy w powszechnie używanym oprogramowaniu. SpaceX Security Engineer zwrócił uwagę na problem, a społeczność open source szybko zareagowała. Administratorzy powinni sprawdzić, czy ich systemy są podatne (np. komendą dpkg -l | grep cifs-utils w Debianie/Ubuntu), i zastosować dostępne łatki. W przypadku systemów, które nie mogą być zaktualizowane, warto rozważyć tymczasowe blokady lub migrację do dystrybucji, która domyślnie nie jest narażona. Obserwowanie komunikatów bezpieczeństwa własnej dystrybucji oraz regularne aktualizacje to podstawa ochrony przed tego typu zagrożeniami.