Linuxカーネルに存在する19年前から存在する脆弱性「CIFSwitch」は、CIFSプロトコルの欠陥を悪用することで、攻撃者がroot権限を取得できるというものです。この発見は、システム管理者とLinuxユーザーに対し、直ちに警戒を強める必要性を示しています。
事態は深刻です。権限を持たないローカル攻撃者が、マシンを完全に制御できてしまう可能性があります。この脆弱性がどのように機能し、どのディストリビューションが影響を受けるのかを見ていきましょう。
LinuxカーネルにおけるCIFSwitchの脆弱性を理解する
CIFSwitchは、LinuxカーネルとCIFS/SMBネットワーク共有を管理するcifs-utilsパッケージ間のインターフェースに存在する脆弱性を悪用します。このプロトコルは、リモートサーバー上のファイルにアクセスするために不可欠です。
問題の核心は、これらの共有をマウントするために必要なKerberos認証にある。カーネルはこのタスクを、root権限で実行されるユーザーヘルパーであるcifs.upcallに委任する。
このヘルパーは、監視なしに受信したリクエストを信頼します。悪意のあるユーザーはこれらのリクエストを操作し、権限昇格された状態で実行される悪意のあるコードを挿入できます。これが攻撃経路です。
作戦の技術的な舞台裏
この脆弱性は、鍵の出所を制御できないことに起因する。 cifs.spnego カーネルによって要求されます。通常、この要求は正当なものであり、カーネルのCIFSクライアントによって発行されます。しかし、ここでは偽装される可能性があります。
デモとして提供されているシンプルなPythonスクリプトを使えば、一般ユーザーでもsudoersファイルを書き換えて、ほぼ瞬時にroot権限を取得できます。効率的で強力なツールです。
鉄道の線路に開け放たれた遮断機を例にとると、地元のハッカーは、フィルターを通さずに実験的な車両をシステムに忍び込ませるだけで済むのだ。
対象となるLinuxディストリビューションと動作条件
より一般的な脆弱性とは異なり、CIFSwitchはLinuxカーネルのバージョンのみに基づいてトリガーされるわけではありません。 cifs-utilsはバージョン6.14以降にインストールされている必要があります。。
もう一つの前提条件は、ユーザーが名前空間を作成してマウントできる能力を持っていることです。この機能は、SELinuxやAppArmorなどのセキュリティポリシーによって制限される場合があります。
デフォルトでは、Linux Mint 21.3、CentOS Stream 9、2021年から2026年までのKali Linux、およびAlmaLinux 9.7など、いくつかのシステムが脆弱性を抱えたままになっています。
より強い分布だが、条件付き
Ubuntuの最新バージョン（26.04）、Fedoraのバージョン40～44、またはRocky Linux 10は、この脆弱性を無効化するSELinux/AppArmorによる保護機能の恩恵を受けています。
警告：これらのセキュリティポリシーを無効にすると、攻撃の機会を再び与えることになります。知識のない管理者は、知らず知らずのうちにシステムが侵害されている状況に陥る可能性があります。
したがって、リスクを評価する際には、システム全体の構成を過小評価してはならない。
CIFSwitch攻撃から効果的に身を守るにはどうすれば良いでしょうか？
2026年5月にLinuxカーネルに導入されたパッチは、鍵要求の発信元をチェックすることでこの問題を修正します。したがって、主な問題は、お使いのディストリビューションにこの修正が組み込まれているかどうかです。
そうでない場合は、いくつかの緩和策が可能です。パッケージを削除してください。 cifs-utils 最も簡単な方法ですが、CIFSネットワーク共有へのアクセスを妨げます。
あるいは、特定の構成でKerberos/SPNEGO認証を無効にしたり、使用しない場合はCIFSモジュールを完全に無効にすることも可能です。
Linuxの管理において、これは古いマシンを開ける前に潤滑油を塗るようなものです。これらのパッチは、長年存在し続けた結果、危険になったバグからシステムを保護します。
重要なのは、常にアップデートに目を光らせておくこと、特に深刻な脆弱性が修正されたアップデートには注意を払うことです。無料だからといって品質が劣るわけではありません。むしろその逆です。