Uma grave vulnerabilidade de escalada de privilégios locais no kernel do Linux foi descoberta, permitindo que usuários comuns, sem qualquer permissão administrativa, obtenham controle total (acesso root) do sistema. Batizada de CIFSwitch, a falha foi identificada por Asim Viladi Oglu Manizada, engenheiro de segurança da SpaceX. O problema persistia oculto no código desde 2007 e afeta sistemas que combinam módulos vulneráveis do CIFS no kernel com versões recentes do pacote cifs-utils.
Entendendo o mecanismo de autenticação
O CIFS é o protocolo utilizado pelo Linux para acessar arquivos e diretórios compartilhados em redes locais. Em redes corporativas, é comum que esse acesso dependa do protocolo de autenticação Kerberos. Como o kernel do Linux não realiza essa validação sozinho, ele recorre ao cifs.upcall, um utilitário do pacote cifs-utils que roda com privilégios de root para buscar as credenciais necessárias.
Para que o kernel e o cifs.upcall conversem, o sistema utiliza uma área segura de memória temporária voltada para o armazenamento de chaves e credenciais.
A Origem do Problema
A falha ocorre no momento em que o kernel gera uma requisição de chave (chamada cifs.spnego). Essa requisição contém metadados sobre a operação, incluindo o servidor de destino, o usuário e o namespace que o cifs.upcall deve utilizar.
O erro crítico de segurança é que o kernel não validava a origem dessa requisição. Como o sistema aceitava pedidos sem verificar se eles vinham de fato do subsistema CIFS interno, qualquer usuário comum conseguia forjar uma requisição falsa na memória. O cifs.upcall processava o pedido normalmente como root, mas operando sob os parâmetros adulterados pelo atacante.
Como funciona a dinâmica do ataque
A exploração do exploit ocorre em uma reação em cadeia:
- Forjamento de dados: O usuário malicioso cria uma requisição falsa definindo o Identificador de Processo (
pid) de um processo sob seu controle e aponta o alvo (upcall_target) como app. - Inversão de Ambiente: Enganado pela requisição, o cifs.upcall migra para o namespace (o ambiente isolado de arquivos e processos) controlado pelo atacante.
- Injeção de Configuração: Ainda rodando como root, mas agora dentro do ambiente manipulado, o programa tenta ler as configurações de grupos do sistema. Em vez de ler o arquivo legítimo, ele lê o arquivo
nsswitch.confalterado pelo invasor. - Execução de Código: Esse arquivo aponta para um módulo de sistema (NSS) malicioso. Ao carregar esse módulo com privilégios administrativos, o exploit executa códigos de escolha do atacante. Na prova de conceito do descobridor da falha, o script simplesmente insere o usuário comum na lista de administradores do sistema (
sudoers).
Sistemas Vulneráveis e Impacto
A vulnerabilidade afeta sistemas que rodam kernels vulneráveis acoplados à versão 6.14 ou superior do cifs-utils (ou versões anteriores que receberam correções parciais retroativas).
- Vulneráveis por padrão: Linux Mint (21.3 e 22.3), CentOS Stream 9, Rocky Linux 9, AlmaLinux 9, Kali Linux (versões 2021.4 a 2026.1) e SLES 15 SP7. Sistemas como Ubuntu, Debian, Pop!_OS e openSUSE também ficam expostos se o pacote cifs-utils estiver instalado.
- Protegidos por mitigação padrão: Fedora (40 a 44), CentOS Stream 10, Rocky Linux 10 e AlmaLinux 10 contam com regras restritivas de SELinux que barram a exploração, mas tornam-se vulneráveis caso o SELinux seja desativado.
- Não afetados: Amazon Linux 2 e versões antigas do Kali Linux (2019.4 e 2020.4), pois utilizam versões do cifs-utils anteriores à implementação do recurso de troca de namespace.
Correção e Mitigações Temporárias
A solução definitiva consiste em um patch de atualização do kernel que insere uma checagem rigorosa de identidade nas requisições cifs.spnego, garantindo que apenas o próprio subsistema CIFS do kernel possa gerá-las. Registrada sob o código CVE-2026-46243 em 1 de junho de 2026, a vulnerabilidade foi compartilhada previamente com os mantenedores das distribuições para o desenvolvimento das correções.
Enquanto a atualização não é aplicada, os administradores podem adotar ações preventivas recomendadas pelo especialista:
- Remover o módulo CIFS do sistema, caso a máquina não precise acessar compartilhamentos de rede.
- Desinstalar o pacote cifs-utils se a integração com o Kerberos não for necessária no ambiente.
- Bloquear a regra padrão do
cifs.spnegono arquivo de configuração do gerenciador de chaves (request-key), impedindo chamadas automáticas de programas. - Desativar a permissão para que usuários sem privilégios criem novos namespaces.
