Una vulnerabilità del kernel Linux, nota come CIFSwitch e risalente a 19 anni fa, consente agli aggressori di ottenere l’accesso root sfruttando una falla nel protocollo CIFS. Questa scoperta richiede un’immediata vigilanza da parte degli amministratori di sistema e degli utenti Linux.
La posta in gioco è alta: un utente malintenzionato locale senza privilegi potrebbe potenzialmente assumere il controllo completo di una macchina. Vediamo come funziona questa vulnerabilità e quali distribuzioni sono interessate.
Comprendere la vulnerabilità CIFSwitch nel kernel Linux
CIFSwitch sfrutta una falla nell’interfaccia tra il kernel Linux e il pacchetto cifs-utils, che gestisce le condivisioni di rete CIFS/SMB. Questo protocollo è essenziale per accedere ai file su server remoti.
Il nocciolo del problema risiede nell’autenticazione Kerberos necessaria per montare queste condivisioni. Il kernel delega questo compito a una funzione di supporto utente, cifs.upcall, che viene eseguita con privilegi di root.
Questo helper si fida quindi delle richieste che riceve senza alcun controllo. Un utente malintenzionato può manipolare queste richieste e iniettare codice dannoso da eseguire con privilegi elevati. Questo è il vettore di attacco.
Gli aspetti tecnici dell’operazione
La vulnerabilità deriva dalla mancanza di controllo sull’origine della chiave. cifs.spnego richiesta dal kernel. Normalmente, questa richiesta è legittima ed è emessa dal client CIFS del kernel. In questo caso, può essere falsificata.
Un semplice script Python, disponibile come demo, permette a un utente standard di riscrivere un file sudoers e ottenere l’accesso root quasi istantaneo. È efficiente e formidabile.
Usando l’analogia di una barriera lasciata aperta su un binario ferroviario, agli hacker locali basterebbe inserire un vagone sperimentale nel sistema senza che venga effettuato alcun filtro.
Le distribuzioni Linux interessate e le condizioni operative
A differenza delle vulnerabilità più universali, CIFSwitch non viene attivato solo in base alla versione del kernel Linux. È assolutamente essenziale che cifs-utils deve essere installato nella versione 6.14 o superiore.
Un altro prerequisito: la capacità dell’utente di creare e montare namespace, una funzionalità talvolta limitata da politiche di sicurezza come SELinux o AppArmor.
Di default, diversi sistemi rimangono vulnerabili, tra cui Linux Mint 21.3, CentOS Stream 9, Kali Linux tra il 2021 e il 2026 e AlmaLinux 9.7.
Distribuzioni più forti, ma con delle condizioni
Le versioni recenti di Ubuntu (26.04), Fedora tra la versione 40 e la 44 e Rocky Linux 10 beneficiano delle protezioni SELinux/AppArmor che neutralizzano questa vulnerabilità.
Attenzione: disabilitare queste politiche di sicurezza equivale a riaprire la finestra di attacco. Un amministratore non informato potrebbe ritrovarsi, senza saperlo, con un sistema compromesso.
Pertanto, la configurazione complessiva del sistema non dovrebbe essere sottovalutata nella valutazione del rischio.
Come proteggersi efficacemente da CIFSwitch?
Una patch introdotta nel maggio 2026 nel kernel Linux risolve il problema verificando l’origine delle richieste di chiave. La domanda principale, quindi, è se la tua distribuzione abbia integrato questa correzione.
Quando ciò non accade, sono possibili diverse misure di mitigazione. Rimuovere il pacchetto cifs-utils è la soluzione più semplice, ma impedisce l’accesso alle condivisioni di rete CIFS.
In alternativa, è possibile disabilitare l’autenticazione Kerberos/SPNEGO tramite una configurazione specifica, oppure disabilitare completamente il modulo CIFS qualora non venga utilizzato.
Nell’amministrazione di sistemi Linux, è un po’ come lubrificare una vecchia macchina prima di aprirla: queste patch proteggono dai bug che, essendo presenti da tempo, diventano pericolosi.
La cosa fondamentale è tenere sempre d’occhio gli aggiornamenti, soprattutto quando risolvono vulnerabilità così gravi. Gratuito non significa scadente; anzi, tutt’altro.