CIFSwitch: 19 Jahre alte Linux-Kernel-Lücke gibt Root

UNGLAUBLICH, aber wahr: Eine Lücke, die seit 2007 im Linux-Kernel schlummert, macht jetzt Schlagzeilen. ‚CIFSwitch‘ erlaubt es einem ganz normalen, unprivilegierten Nutzer, sich auf vielen Systemen zu Root hochzuschrauben. Entdecker ist Asim Viladi Oglu Manizada, Sicherheitsingenieur bei SpaceX. Ein Proof-of-Concept samt technischer Analyse ist bereits öffentlich.

GEFAHR: Vom normalen Login zum Allmächtigen

Das Problem steckt im CIFS-Subsystem des Kernels — zuständig für Windows-Dateifreigaben (SMB). Der Kernel prüft nicht sauber, ob eine cifs.spnego-Anfrage wirklich vom CIFS-Client stammt. Ein Angreifer bastelt eine gefälschte Anfrage, bringt den root-privilegierten Helfer cifs.upcall dazu, manipulierten Feldern zu vertrauen, erzwingt einen Namespace-Wechsel und lädt über einen NSS-Lookup ein bösartiges Modul, das als Root ausgeführt wird.

Wer ist betroffen — und wer nicht?

Mit Standardkonfiguration verwundbar sind unter anderem Linux Mint 21.3 und 22.3, CentOS Stream 9, Rocky Linux 9, AlmaLinux 9, Kali (2021.4 bis 2026.1) und SLES 15 SP7. Auch Ubuntu, Debian, Pop!_OS, openSUSE, Oracle Linux und Amazon Linux können betroffen sein, wenn cifs-utils installiert ist.

Gute Nachricht: Nicht ausnutzbar sind Systeme, deren SELinux-/AppArmor-Regeln den Angriff blocken — etwa Ubuntu 26.04, Fedora 40–44, CentOS Stream 10, Rocky/AlmaLinux 10, SLES 16 und openSUSE Leap 16.

So flickst du deinen Server — 3 Wege

Der saubere Weg ist das Kernel-Update deiner Distribution (der Fix ist als Upstream-Commit 3da1fdf gemerged). Bis das verfügbar ist, helfen diese Sofortmaßnahmen:

CIFS nicht gebraucht? Modul blacklisten: echo "blacklist cifs" > /etc/modprobe.d/blacklist-cifs.conf
cifs-utils überflüssig? Entfernen: apt remove cifs-utils bzw. dnf remove cifs-utils
User-Namespaces sperren: sysctl -w kernel.unprivileged_userns_clone=0 (Achtung: kann Container beeinflussen — vorher testen!)

FAZIT: Höchste Priorität bei Mehrbenutzer-Systemen

Auf Servern, wo fremde Nutzer eine Shell haben — etwa Shared Hosting —, ist CIFSwitch ein dickes Problem. Für reine Einzelplatz-Workstations mit strenger Zugriffskontrolle reicht das nächste Wartungsfenster. CIFSwitch reiht sich ein in eine ganze Serie von Linux-Root-Lücken dieses Jahres: nach Copy Fail, Dirty Frag, Fragnesia und DirtyDecrypt.

Häufige Fragen

Welche Systeme sind betroffen?

Linux-Systeme mit dem verwundbaren CIFS-Subsystem und installiertem cifs-utils, etwa Linux Mint 21.3/22.3, CentOS Stream 9, Rocky Linux 9, AlmaLinux 9, Kali und SLES 15 SP7. Distros mit strikten SELinux-/AppArmor-Regeln wie Ubuntu 26.04 oder Fedora 40–44 sind in Standardkonfiguration nicht ausnutzbar.

Wie merke ich, ob mein System verwundbar ist?

Prüfe, ob cifs-utils installiert ist und ob unprivilegierte User-Namespaces erlaubt sind. Ist beides der Fall und greifen keine blockierenden SELinux-/AppArmor-Policies, ist dein System wahrscheinlich angreifbar. Im Zweifel die Mitigationen anwenden.

Wie behebe ich das Problem konkret?

Am besten das Kernel-Update deiner Distribution einspielen, sobald verfügbar (Upstream-Fix Commit 3da1fdf). Als Übergang: CIFS-Modul blacklisten, cifs-utils entfernen, falls nicht gebraucht, und unprivilegierte User-Namespaces deaktivieren.

Gibt es schon eine CVE-Nummer?

Zum Zeitpunkt der Veröffentlichung war noch keine CVE zugewiesen. Die Lücke trägt den Namen ‚CIFSwitch‘ nach ihrem Entdecker. Ein vollständiger technischer Bericht und ein Proof-of-Concept sind bereits öffentlich.

Quellen: Upstream-Kernel-Fix (Commit 3da1fdf) · Threat-Modeling.com

ROOT-SCHOCK! Eine 19 Jahre alte Linux-Lücke macht JEDEN Nutzer JETZT zum Admin