Se ha revelado una nueva vulnerabilidad de escalada de privilegios locales (LPE) en Linux denominada "CIFSwitch". Este fallo permite que usuarios con bajos privilegios obtengan acceso de root aprovechando un error de lógica entre el cliente CIFS del kernel de Linux y el paquete de espacio de usuario cifs-utils. El problema fue descubierto por el investigador de seguridad Asim Manizada, quien ha publicado un análisis técnico y una prueba de concepto (PoC) para ayudar a evaluar la exposición de los sistemas.

Una vulnerabilidad de escalada de privilegios locales (LPE) de Linux recientemente revelada, apodada “CIFSwitch”, permite que usuarios con bajos privilegios obtengan acceso root abusando de un fallo lógico entre el cliente CIFS del kernel de Linux y el paquete de espacio de usuario cifs-utils.

El error fue descubierto por el investigador de seguridad Asim Manizada, quien ha publicado un informe técnico detallado y una PoC para ayudarte a evaluar tu exposición y validar los parches.

El problema surge de una validación incorrecta de las descripciones de claves en el tipo de clave CIFs.Spnego, lo que permite que usuarios sin privilegios suplanten solicitudes del kernel confiables y activen operaciones privilegiadas.

Vulnerabilidad del Kernel Linux CIFSwitch

La vulnerabilidad fue hallada utilizando un enfoque de razonamiento multihop asistido por IA que construye y recorre grafos semánticos de objetos y flujos relevantes para la seguridad, permitiendo encadenar fallos lógicos sutiles en un exploit práctico.

El aviso se reveló tras un embargo coordinado con las distribuciones de Linux, y los parches del kernel upstream ya están disponibles.

CIFS/SMB es un protocolo de sistema de archivos de red estilo Windows ampliamente utilizado en Linux. En esta arquitectura, el cliente CIFS del kernel gestiona las operaciones principales del sistema de archivos.

Al mismo tiempo, la autenticación Kerberos/SPNEGO se delega a un asistente de espacio de usuario con privilegios de root, cifs-upcall, proporcionado por cifs-utils.

La interacción utiliza los anillos de claves (keyrings) de Linux: el kernel llama a request_key() para la clave CIFS.spnego, pasando una cadena de descripción confiable que codifica parámetros como el servidor, UID, UID de credenciales, PID y el objetivo del espacio de nombres.

La política /sbin/request-key lanza entonces cifs-upcall como root para procesar esa solicitud.

La investigación de Manizada mostró que el kernel no verificaba si la descripción de la clave cifs.spnego realmente se originaba en el subsistema CIFS antes de tratarla como confiable.

Esta omisión permite que cualquier proceso sin privilegios invoque directamente request_key(“cifs.spnego”, <descripción_manipulada>, …).

Debido a que el tipo de clave es cifs.spnego, la regla predeterminada de request-key sigue ejecutando cifs-upcall como root, aunque la descripción esté totalmente controlada por el atacante.

La cadena del exploit depende de dos elementos en esa descripción falsificada: pid y upcall_target.

Al establecer upcall_target=app y suministrar un pid malicioso, el atacante hace que cifs-upcall cambie a los espacios de nombres del proceso controlado por el atacante antes de realizar búsquedas de cuentas basadas en NSS y, finalmente, abandonar los privilegios.

Dentro de este espacio de nombres de montaje controlado por el atacante, se puede plantar un nsswitch.conf fraudulento y un libnss_*.so.2 malicioso para que una búsqueda NSS con privilegios de root cargue y ejecute código arbitrario.

En la PoC de Manizada, el módulo NSS malicioso escribe una entrada en /etc/sudoers.d, otorgando al atacante acceso root efectivo.

El error subyacente del kernel se remonta a 2007. Sin embargo, una explotación exitosa requiere varias condiciones:

Un kernel vulnerable, una versión compatible de cifs-utils (especialmente 6.14+ o compilaciones antiguas con cambios retroactivos) y la creación de espacios de nombres de usuario sin privilegios.

Políticas de Módulos de Seguridad de Linux (LSM) como SELinux o AppArmor que no bloqueen la ruta del ataque.

Las pruebas muestran que muchas distribuciones principales son explotables tal cual vienen configuradas cuando cifs-utils está presente. En contraste, otras solo son explotables tras instalar cifs-utils o relajar las políticas predeterminadas de LSM.

La corrección del kernel upstream añade un gancho vet_description para el tipo de clave cifs.SPNEGO, asegurando que las descripciones se acepten solo cuando la solicitud se realice bajo el spnego_cred interno del cliente CIFS, bloqueando eficazmente que el espacio de usuario sin privilegios se haga pasar por el kernel.

Se recomienda un endurecimiento adicional en cifs-utils para que cifs-upcall no confíe ciegamente en que las descripciones de las claves se originan en el kernel.

Asim Manizada ha publicado el informe técnico completo (“CIFSwitch”) y el exploit PoC en GitHub para ayudar a los defensores, mantenedores y respondedores de incidentes a verificar las mitigaciones y la cobertura de los parches.

Si eres administrador, deberías desplegar urgentemente los parches del kernel retroactivos y considerar medidas de defensa en profundidad, como desactivar CIFS donde no se use, eliminar cifs-utils, endurecer las reglas de request-key para cifs.spnego y restringir los espacios de nombres de usuario sin privilegios.

Fuentes:
https://cybersecuritynews.com/linux-cifswitch-kernel-vulnerability/