Przejdź do treści
Infrastruktura

Nowa luka CIFSwitch w jądrze Linux. Które dystrybucje są zagrożone i jak się chronić?

Odkryta podatność CIFSwitch umożliwia lokalne podniesienie uprawnień do roota w wielu popularnych dystrybucjach Linuksa. Wyjaśniamy, kogo dotyczy problem i jakie kroki podjąć, by zminimalizować ryzyko.

3 min read
An abstract composition of a dark server rack with glowing blue cables, partially obscured by a translucent shield with a crack in the shape of a keyhole, symbolizing a privilege escalation vulnerability in a Linux system.

W jądrze Linuksa odkryto nową podatność o nazwie CIFSwitch, która umożliwia lokalne podniesienie uprawnień do poziomu roota. Problem dotyczy wielu popularnych dystrybucji, a jego źródłem jest mechanizm uwierzytelniania dla systemu plików CIFS. Administratorzy powinni jak najszybciej sprawdzić, czy ich systemy są podatne, i wdrożyć zalecane aktualizacje lub tymczasowe zabezpieczenia.

Czym jest CIFSwitch i jak działa?

Podatność CIFSwitch (nazwana przez odkrywcę, Asima Viladiego Oglu Manizada, inżyniera bezpieczeństwa w SpaceX) polega na błędzie w podsystemie CIFS jądra Linuksa. CIFS (Common Internet File System) to protokół sieciowy używany do udostępniania plików – Linux wykorzystuje go do montowania zasobów z innych systemów, np. Windows.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Jak tłumaczy Manizada w swoim raporcie, „jądro żąda klucza typu cifs.spnego, a normalna konfiguracja keyutils/request-key uruchamia cifs.upcall jako root, aby pobrać lub zbudować materiał Kerberos/SPNEGO”. Problem polega na tym, że jądro nie weryfikuje, czy żądanie klucza rzeczywiście pochodzi z jego własnego klienta CIFS. Dzięki temu nieuprzywilejowany użytkownik może sfałszować takie żądanie i – poprzez manipulację polami sterującymi – doprowadzić do wykonania kodu z uprawnieniami roota.

Które dystrybucje są zagrożone?

Badacz potwierdził podatność w domyślnej konfiguracji m.in. w: Linux Mint 21.3 / 22.3, CentOS Stream 9, Rocky Linux 9, AlmaLinux 9, Kali Linux 2021.4–2026.1 oraz SLES 15 SP7. Różne wersje Ubuntu, Debiana, Pop!_OS, openSUSE, Oracle Linux i Amazon Linux mogą być podatne, jeśli zainstalowano pakiet cifs-utils. Z kolei Ubuntu 26.04, Fedora 40–44, CentOS Stream 10, Rocky Linux 10, SLES 16, AlmaLinux 10 i openSUSE Leap 16 są bezpieczne – ich polityki SELinux/AppArmor blokują wykorzystanie luki. Amazon Linux 2 oraz starsze Kali (2019.4, 2020.4) nie są podatne – brak w nich funkcji przełączania przestrzeni nazw w pakiecie cifs-utils.

Jak się zabezpieczyć?

Producent jądra opublikował już łatkę (commit 3da1fdf), która dodaje walidację pochodzenia żądań kluczy cifs.spnego. Jednak konkretne wersje jądra zawierające tę poprawkę różnią się w zależności od dystrybucji. Dlatego administratorzy powinni:

  • Zaktualizować jądro i pakiet cifs-utils do wersji zawierających poprawkę – informacje o konkretnych numerach wersji znajdują się w biuletynach bezpieczeństwa poszczególnych dystrybucji.
  • Wyłączyć moduł CIFS, jeśli nie jest używany – można go zablokować lub usunąć, co całkowicie eliminuje wektor ataku.
  • Usunąć pakiet cifs-utils, jeśli nie jest potrzebny w systemie.
  • Wyłączyć nieuprzywilejowane przestrzenie nazw użytkownika (unprivileged user namespaces) – to dodatkowa warstwa ochrony, która utrudnia wykorzystanie luki.

Manizada opublikował również dowodowy kod koncepcyjny (PoC), który organizacje mogą wykorzystać do sprawdzenia skuteczności łat i zabezpieczeń w swoim środowisku.

Szerszy kontekst – seria podatności w jądrze

CIFSwitch to kolejna z serii luk umożliwiających eskalację uprawnień w systemach Linux, które ujawniono w ostatnim czasie. Wcześniej badacze opisali m.in. „Copy Fail”, „Dirty Frag”, „Fragnesia”, „DirtyDecrypt” i „PinTheft”. To wskazuje na utrzymujący się trend poszukiwania błędów w newralgicznych mechanizmach jądra, które mogą prowadzić do pełnego przejęcia kontroli nad systemem. Administratorzy powinni regularnie monitorować biuletyny bezpieczeństwa swoich dystrybucji i testować poprawki w kontrolowanym środowisku przed wdrożeniem produkcyjnym.

Podatność CIFSwitch pokazuje, jak ważne jest utrzymywanie systemów w aktualności oraz stosowanie zasady minimalnej niezbędnej funkcjonalności – wyłączanie nieużywanych modułów i usług znacząco redukuje powierzchnię ataku. W przypadku wykrycia luki kluczowe jest szybkie działanie: identyfikacja podatnych systemów, wdrożenie łat i tymczasowych zabezpieczeń oraz weryfikacja ich skuteczności.

#administracja #aktualizacje #bezpieczeństwo systemów #CIFSwitch #Linux #podatność
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Photorealistic image of a worried man looking at his smartphone on a Berlin street, with subtle surveillance cameras in the background, natural daylight, depth of field, 16:9, photojournalistic style, slight grain, no text or logos. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

Niemcy będą gromadzić adresy IP przez 3 miesiące. Co to znaczy dla Twojej prywatności?

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe: młoda kobieta około 30 lat, siedzi przy stole w polskim mieszkaniu, trzyma smartfona w dłoni, twarz zaniepokojona, patrzy na ekran telefonu (widok od tyłu telefonu, bez widocznego interfejsu). Na stole leży portfel i karta płatnicza (bez widocznych napisów). Naturalne światło dzienne wpadające przez okno. Głębia ostrości: twarz i telefon ostre, tło lekko rozmyte. Kadr 16:9, zbliżenie na twarz i dłonie. Styl jak zdjęcie reporterskie z Getty Images, lekki szum, wysoki kontrast. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

75 milionów rekordów Revolut na czarnym rynku. Czy twoje dane są bezpieczne?

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe: młoda kobieta trzyma w dłoni banknot 20 euro, patrzy na niego z zaskoczeniem i uśmiechem. Naturalne światło dzienne, wnętrze mieszkania, na stole leżą inne banknoty i monety. Niewyraźny fragment banknotu (bez czytelnych napisów), twarz kobiety wyraża dumę i ciekawość. Kadr zbliżony, głębia ostrości, lekki szum. Styl Getty Images. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

Nowy banknot euro z Polką? EBC pokazał projekt. Skłodowska-Curie na 20 euro

27 lipca, 2026 3 min read