Eine 19 Jahre alte Sicherheitslücke im Linux-Kernel, bekannt als CIFSwitch, ermöglicht Angreifern den Zugriff auf das System, indem sie einen Fehler im CIFS-Protokoll ausnutzen. Diese Entdeckung erfordert sofortige Wachsamkeit von Systemadministratoren und Linux-Nutzern.
Es steht viel auf dem Spiel: Ein lokaler Angreifer ohne entsprechende Berechtigungen könnte potenziell die vollständige Kontrolle über einen Rechner erlangen. Sehen wir uns an, wie diese Sicherheitslücke funktioniert und welche Distributionen betroffen sind.
Die CIFSwitch-Schwachstelle im Linux-Kernel verstehen
CIFSwitch nutzt eine Sicherheitslücke in der Schnittstelle zwischen dem Linux-Kernel und dem Paket cifs-utils aus, das CIFS/SMB-Netzwerkfreigaben verwaltet. Dieses Protokoll ist unerlässlich für den Zugriff auf Dateien auf entfernten Servern.
Das Kernproblem liegt in der Kerberos-Authentifizierung, die zum Einbinden dieser Freigaben erforderlich ist. Der Kernel delegiert diese Aufgabe an einen Benutzerhelfer, cifs.upcall, der mit Root-Rechten ausgeführt wird.
Dieser Helfer vertraut den empfangenen Anfragen ohne jegliche Überprüfung. Ein Angreifer kann diese Anfragen manipulieren und Schadcode einschleusen, der mit erhöhten Rechten ausgeführt wird. Dies ist der Angriffsvektor.
Die technischen Hintergründe der Operation
Die Schwachstelle rührt von der fehlenden Kontrolle über den Ursprung des Schlüssels her. cifs.spnego Diese Anfrage wird vom Kernel angefordert. Normalerweise ist sie legitim und wird vom CIFS-Client des Kernels gestellt. Hier kann sie jedoch gefälscht werden.
Ein einfaches Python-Skript, das als Demoversion verfügbar ist, ermöglicht es einem Standardbenutzer, eine sudoers-Datei zu überschreiben und so nahezu sofortigen Root-Zugriff zu erlangen. Es ist effizient und leistungsstark.
Um es mit der Analogie einer offenen Schranke auf einem Bahngleis zu vergleichen: Lokale Hacker müssen lediglich einen experimentellen Waggon ungefiltert in das System einschleusen.
Die betreffenden Linux-Distributionen und die Betriebsbedingungen
Im Gegensatz zu allgemeineren Sicherheitslücken wird CIFSwitch nicht allein durch die Linux-Kernelversion ausgelöst. Es ist unbedingt erforderlich, dass cifs-utils muss in Version 6.14 oder höher installiert sein..
Eine weitere Voraussetzung: die Fähigkeit des Benutzers, Namespaces zu erstellen und einzubinden, eine Funktion, die manchmal durch Sicherheitsrichtlinien wie SELinux oder AppArmor eingeschränkt wird.
Standardmäßig bleiben mehrere Systeme anfällig, darunter Linux Mint 21.3, CentOS Stream 9, Kali Linux zwischen 2021 und 2026 und AlmaLinux 9.7.
Stärkere Verteilungen, aber unter bestimmten Bedingungen
Neuere Versionen von Ubuntu (26.04), Fedora zwischen Version 40 und 44 oder Rocky Linux 10 profitieren von SELinux/AppArmor-Schutzmechanismen, die diese Sicherheitslücke neutralisieren.
Warnung: Das Deaktivieren dieser Sicherheitsrichtlinien ist, als würde man ein Einfallstor für Angriffe öffnen. Ein uninformierter Administrator könnte sich dann unwissentlich mit einem kompromittierten System konfrontiert sehen.
Daher sollte die Gesamtkonfiguration des Systems bei der Risikobewertung nicht unterschätzt werden.
Wie kann man sich wirksam vor CIFSwitch schützen?
Ein im Mai 2026 im Linux-Kernel eingeführter Patch behebt das Problem durch Überprüfung des Ursprungs von Schlüsselanfragen. Die entscheidende Frage ist daher, ob Ihre Distribution diese Korrektur integriert hat.
Ist dies nicht der Fall, sind verschiedene Abhilfemaßnahmen möglich. Entfernen Sie das Paket. cifs-utils ist die einfachste Lösung, verhindert aber den Zugriff auf CIFS-Netzwerkfreigaben.
Alternativ kann die Kerberos/SPNEGO-Authentifizierung mit einer bestimmten Konfiguration deaktiviert oder das CIFS-Modul vollständig deaktiviert werden, wenn es nicht verwendet wird.
In der Linux-Administration ist es ein bisschen so, als würde man eine alte Maschine einfetten, bevor man sie öffnet: Diese Patches schützen vor Fehlern, die dadurch, dass sie schon seit Ewigkeiten vorhanden sind, gefährlich werden können.
Entscheidend ist, stets auf Updates zu achten, insbesondere wenn diese so schwerwiegende Sicherheitslücken beheben. Kostenlos bedeutet nicht schlampig; ganz im Gegenteil.