CIF Schalten Sie Schwachstelle, die Kerberos Authentifizierung in Root Access in Linux verwandelt

Ein Versäumnis, lokale Privilegien zu eskalieren INSGESAMT wurde im CIFS-Subsystem des Linux-Kernels dokumentiert und zeigt, wie eine Mischung aus Kernel-Design und Benutzerraum-Utility-Verhalten einen legitimen Authentifizierungs-Aufruf in eine Wurzel verwandeln kann. CIFS (Common Internet File System) wird verwendet, um Netzwerkressourcen zu montieren und zuzugreifen, und wenn diese Baugruppen Kerberos / SPNEGO benötigen, delegiert der Kernel einen Teil der Arbeit an einen Helfer im Benutzerraum (cifs.upcall) verwaltet von der Sammlung cifs-utils. Der Fehler nutzt die Tatsache, dass der Kernel den Ursprung bestimmter Schlüsselanforderungen (cifs.spnego) nicht richtig wertet, was einem unprivilegierten Benutzer erlaubt, eine Anfrage zu schmieden und den Authentifizierungsfluss zu aktivieren, als ob er vom CIFS-Client des Kernels stammt.

In der Praxis liegt die Verwundbarkeit in cifs.upcall läuft mit Root-Privilegien und Trusts-Feldern, die durch Design vom Kernel erzeugt werden sollten. Ein lokaler Angreifer kann diese Felder manipulieren, um eine Namensänderung zu zwingen und eine Namensauflösung (NSS) zu verursachen, bevor der Helfer seine Privilegien reduziert, die die Tür öffnet, um ein bösartiges NSS-Modul zu laden und Code mit Systemvorteilen auszuführen. Die Entdeckung und ausführliche technische Beschreibung finden Sie im Bericht des Forschers Asim Viladi Oglu Manizado, der auch eine öffentliche PoC veröffentlicht hat, um die Minderung zu bestätigen: CIF Technischer Bericht und PoC-Repository.

Dieser Ausfall ist nicht universell: 2007 wurde er in den Kernelbaum eingeführt und seine Ausbeutung hängt von mehreren Faktoren zusammen: Version des Kernels mit der verletzlichen Route, Anwesenheit einer Version von cifs-utils die Änderung von Namespace, die Verfügbarkeit von Benutzernamenspace in Systemkonfiguration und Sicherheitsrichtlinien (SELinux / AppArmor), die den Angriff nicht blockieren. Manizado weist mehrere Distributionen auf, die mit ihrer Standardkonfiguration zu ihrer Testzeit verletzlich waren; andere Disters beinhalten Standardschutze, die die Ausbeutung auch dann abmildern, wenn der betreffende Code vorhanden ist.

Der Patch, der die Wurzel des Problems repariert, fügt Validierungen hinzu, um sicherzustellen, dass die cifs. spnego-Anforderungen stammen tatsächlich vom CIFS-Kunden des Kernels; das stromaufwärts liegende Commit kann im Kernel gefunden werden: 3da1fdf. Der Einsatz dieses Patches hängt jedoch von jedem Anbieter ab: Die einzige zuverlässige Möglichkeit, das Fenster zu schließen, besteht darin, die von Ihrer Distribution veröffentlichten Kernel- und cifs-utils-Pakete zu aktualisieren und die betroffenen Systeme neu zu starten.

Für Manager und Sicherheitsbeamte sollte eine pragmatische Priorität angewandt werden: Aktualisierung kernel und cifs-verwendet die geparched Versionen und überprüfen Sie die Sicherheitshinweise der Distribution; wenn das sofortige Update nicht möglich ist, betrachten Sie temporäre Minderung als das CIFS-Modul deaktivieren oder blockieren(blacklist), deinstallieren cifs-utils wenn nicht notwendig, und Benutzernamespaces nicht privilegiert. Diese Maßnahmen verringern die Angriffsfläche, obwohl sie die Netzwerkmontagefunktionen beeinflussen können; bewerten Sie die Auswirkungen auf die Dienste, bevor sie in der Produktion angewendet werden.

Das Erkennen von Betriebsversuchen erfordert die Überprüfung von System- und Auditprotokollen auf der Suche nach anormalen cifs.upcall-Ausführungen, ungewöhnlichen Anrufen in den Kernel-Schlüsselring und NSS-Modul laden Aktivität von unerwarteten Standorten. Wenn Sie EDR oder Integritätserkennungstools haben, suchen Sie nach Änderungen in / lib / libnss _ * und in den mit cifs verbundenen Binären. Es ist auch eine gute Praxis, Systeme mit einem bekannten Inventar zu vergleichen, um Hosts mit Versionen von Kernel oder cifs-utils ohne Patch zu identifizieren.

Auf der organisatorischen Ebene erinnert CIFSwitch daran, dass die Ketten zwischen Kernel und Benutzerfläche (Hilfe mit Privilegien) kritische Vektoren sind: Sicherheitsbewertungen sollten nicht nur Kernel-Patches enthalten, sondern auch die Koordination mit Benutzerraumauslastungen und Eindämmungsrichtlinienkonfiguration (SELinux / AppArmor). Für Teams, die noch von der CIFS / Kerberos Montage abhängig sind, empfehlen Sie, die Patches in Vorproduktionsumgebungen zu testen und die vom Forscher veröffentlichte PoC nur unter kontrollierten Bedingungen zu verwenden, um Gegenmaßnahmen zu validieren: PoC CIFSwitch.

Praktische Zusammenfassung: kernel-Updates und cifs-utils-Pakete von Ihrem Distributionsanbieter priorisieren, CIFS-Komponenten entfernen oder blockieren, falls nicht erforderlich, Benutzernamespace einschränken und Eindämmungsrichtlinien stärken. Die Kombination von Parken, Oberflächenreduktion und Überwachung ist der einzige Weg, um das Risiko zu minimieren, da die Parkversionen über ihre Infrastruktur verteilt sind.