【安全通告】Linux Kernel "CIFSwitch" 本地权限提升漏洞风险通告
摘要
尊敬的腾讯云用户，您好！ 腾讯云安全中心监测到， Linux Kernel 被披露其存在本地权限提升漏洞，暂无漏洞编号，代号 "CIFSwitch"。可导致本地无特权攻击者通过伪造 cifs.spnego 密钥描述，触发加载攻击者控制的 NSS 模块，从而获得 root 权限等危害。 为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。 漏洞详情 Linux Kernel 是全球最广泛使用的开源操作系统内核，它是 Linux 系统的核心组件，负责管理硬件资源、进程调度、内存管理、文件系统和网络功能等底层任务。 据描述，在 Linux Kernel CIFS 组件（自 2007 年起）与 cifs-utils 6.14 及以上版本的组合中，由于内核中的 cifs.spnego 密钥类型定义缺少 vet_description 验证钩子，无法区分密钥描述是来自内核 CIFS 模块还是来自不可信的用户态进程。攻击者可通过 request_key() 系统调用直接提交伪造的密钥描述（其中包含攻击者控制的 pid 和 upcall_target=app 字段），触发 /sbin/request-key 调用以 root 权限启动 cifs.upcall 辅助程序。该辅助程序在解析攻击者控制的 pid 后，会切换到攻击者指定的命名空间，随后在调用 getpwuid() 进行账户查找时，通过 NSS (Name Service Switch) 机制加载攻击者预先放置在挂载命名空间中的恶意 libnss_*.so.2 共享库，最终在 root 辅助进程上下文中执行任意代码，实现本地权限提升。 目前该漏洞的漏洞细节、POC已公开。 风险等级 高风险 漏洞风险 本地攻击者利用该漏洞可在未授权的情况下获得系统 root 权限，导致系统完全失陷、数据泄露及任意代码执行等危害。 影响版本 commit < 3da1fdf4efbc490041eb4f836bf596201203f8f2 目前已知受影响的系统： Linux Mint 21.3/22.3 Cinnamon CentOS Stream 9 GNOME Rocky Linux 9 Workstation Kali Linux 2021.4/2022.4/2023.4/2024.4/2025.4/2026.1 headless AlmaLinux 9.7 Workstation/Azure cloud image SLES 15 SP7/SAP 15 SP7 SLES SAP 16 安全版本 commit >= 3da1fdf4efbc490041eb4f836bf596201203f8f2 目前已知不受影响的系统： Amazon Linux 2 KVM Kali Linux 2019.4/2020.4 默认策略阻断的系统 未安装 cifs-utils 的系统 排查方法 1. 检查 SELinux/AppArmor 状态 # SELinux 状态（RHEL/CentOS/Fedora/Rocky/Alma） getenforce # Enforcing → 默认阻断；Permissive/Disabled → 可能受影响 # AppArmor 状态（Ubuntu/Debian/SUSE） sudo aa-status # 或检查用户命名空间限制 sysctl kernel.apparmor_restrict_unprivileged_userns # 返回 1 → 默认阻断；返回 0 → 可能受影响 2. 检查 cifs-utils 是否安装及版本 # RHEL/CentOS/Fedora/Rocky/Alma rpm -qa | grep cifs-utils # Ubuntu/Debian/Pop!_OS dpkg -l | grep cifs-utils # 查看版本号 cifs.upcall --version # 判断标准 cifs-utils 版本 < 6.14，不受影响（版本过旧，无命名空间切换功能） cifs-utils 版本 >= 6.14，可能受影响（需结合其他条件） cifs-utils 未安装，不受影响 修复建议 1. 官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，升级至安全版本 https://github.com/torvalds/linux/commit/3da1fdf4efbc490041eb4f836bf596201203f8f2 2. 缓解措施： (1) 如业务不需要，卸载 cifs-utils 软件包：sudo apt remove cifs-utils 或 sudo yum remove cifs-utils； (2) 如不需要 Kerberos 认证的 CIFS 挂载，删除或覆盖默认的 cifs.spnego request-key 规则：echo 'create cifs.spnego * * /usr/sbin/keyctl negate %k 30 %S' | sudo tee /etc/request-key.d/cifs.spnego.conf； (3) 禁止非特权用户创建用户命名空间：sudo sysctl -w kernel.unprivileged_userns_clone=0（部分发行版）或 sudo sysctl -w user.max_user_namespaces=0； (4) 如不需要 CIFS 功能，禁止加载 CIFS 内核模块：echo 'install cifs /bin/false' | sudo tee /etc/modprobe.d/disable-cifs.conf； (5) 应用 Linux 内核补丁（添加 vet_description 验证），并更新至包含修复的发行版内核版本。 【备注】：建议您在升级前做好数据备份工作，避免出现意外 漏洞参考 https://heyitsas.im/posts/cifswitch/ https://github.com/manizada/CIFSwitch/ 2026-05-29
标签
- type:console
扩展字段
{
"add_time": "2026-05-28T18:37:31+00:00",
"announce_type": "console",
"begin_time": "2026-05-28T18:16:41+00:00",
"content_html": "<span style=\"font-size: 14px;\"><span style=\"font-size: 14px;\">尊敬的腾讯云用户，您好！</span><div><span style=\"font-size: 14px;\"><br></span></div><div><span style=\"font-size: 14px;\">腾讯云安全中心监测到，<span style=\"color: rgb(255, 0, 0); font-weight: bold;\">Linux Kernel 被披露其存在本地权限提升漏洞，暂无漏洞编号，代号 \"CIFSwitch\"。可导致本地无特权攻击者通过伪造 cifs.spnego 密钥描述，触发加载攻击者控制的 NSS 模块，从而获得 root 权限等危害。</span></span></div><div><span style=\"font-size: 14px;\"><br></span></div><div><span style=\"font-size: 14px;\">为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。</span></div><div><span style=\"font-size: 14px;\"><br></span></div><div><span style=\"font-size: 14px; font-weight: bold;\">漏洞详情</span></div><div>Linux Kernel 是全球最广泛使用的开源操作系统内核，它是 Linux 系统的核心组件，负责管理硬件资源、进程调度、内存管理、文件系统和网络功能等底层任务。</div><div><span style=\"font-size: 14px;\"><br></span></div><div><span style=\"font-size: 14px;\">据描述，在 Linux Kernel CIFS 组件（自 2007 年起）与 cifs-utils 6.14 及以上版本的组合中，由于内核中的 cifs.spnego 密钥类型定义缺少 vet_description 验证钩子，无法区分密钥描述是来自内核 CIFS 模块还是来自不可信的用户态进程。攻击者可通过 request_key() 系统调用直接提交伪造的密钥描述（其中包含攻击者控制的 pid 和 upcall_target=app 字段），触发 /sbin/request-key 调用以 root 权限启动 cifs.upcall 辅助程序。该辅助程序在解析攻击者控制的 pid 后，会切换到攻击者指定的命名空间，随后在调用 getpwuid() 进行账户查找时，通过 NSS (Name Service Switch) 机制加载攻击者预先放置在挂载命名空间中的恶意 libnss_*.so.2 共享库，最终在 root 辅助进程上下文中执行任意代码，实现本地权限提升。</span></div><div><span style=\"font-size: 14px;\"><br></span></div><div><span style=\"font-size: 14px;\">目前该漏洞的漏洞细节、POC已公开。<br></span></div><div><br></div><div><span style=\"font-size: 14px; font-weight: bold;\">风险等级</span></div><div><span style=\"font-size: 14px; font-weight: bold; color: rgb(255, 0, 0);\">高风险</span></div><div><span style=\"font-size: 14px;\"><br></span></div><div><span style=\"font-size: 14px; font-weight: bold;\">漏洞风险</span></div><div><span style=\"font-size: 14px;\">本地攻击者利用该漏洞可在未授权的情况下获得系统 root 权限，导致系统完全失陷、数据泄露及任意代码执行等危害。</span></div><div><span style=\"font-size: 14px;\"><br></span></div><div><span style=\"font-size: 14px; font-weight: bold;\">影响版本</span></div><div>commit < 3da1fdf4efbc490041eb4f836bf596201203f8f2</div><div><br></div><div>目前已知受影响的系统：</div><div>Linux Mint 21.3/22.3 Cinnamon</div><div>CentOS Stream 9 GNOME</div><div>Rocky Linux 9 Workstation</div><div>Kali Linux 2021.4/2022.4/2023.4/2024.4/2025.4/2026.1 headless</div><div>AlmaLinux 9.7 Workstation/Azure cloud image</div><div>SLES 15 SP7/SAP 15 SP7</div><div>SLES SAP 16<br></div><div><br></div><div><span style=\"font-size: 14px; font-weight: bold;\">安全版本</span></div><div><span style=\"font-size: 14px;\">commit >= 3da1fdf4efbc490041eb4f836bf596201203f8f2<br></span></div><div><span style=\"font-size: 14px;\"><br></span></div><div><span style=\"font-size: 14px;\">目前已知不受影响的系统：</span></div><div><span style=\"font-size: 14px;\">Amazon Linux 2 KVM</span></div><div><span style=\"font-size: 14px;\">Kali Linux 2019.4/2020.4</span></div><div><span style=\"font-size: 14px;\">默认策略阻断的系统</span></div><div><span style=\"font-size: 14px;\">未安装 cifs-utils 的系统<br></span></div><div><br></div><div><div><span style=\"font-size: 14px; font-weight: bold;\">排查方法</span></div></div><div><span style=\"font-size: 14px;\">1. 检查 SELinux/AppArmor 状态</span></div><div><span style=\"font-size: 14px;\"># SELinux 状态（RHEL/CentOS/Fedora/Rocky/Alma）</span></div><div><span style=\"font-size: 14px;\">getenforce</span></div><div><span style=\"font-size: 14px;\"># Enforcing → 默认阻断；Permissive/Disabled → 可能受影响</span></div><div><span style=\"font-size: 14px;\"><br></span></div><div><span style=\"font-size: 14px;\"># AppArmor 状态（Ubuntu/Debian/SUSE）</span></div><div><span style=\"font-size: 14px;\">sudo aa-status</span></div><div><span style=\"font-size: 14px;\"><br></span></div><div><span style=\"font-size: 14px;\"># 或检查用户命名空间限制</span></div><div><span style=\"font-size: 14px;\">sysctl kernel.apparmor_restrict_unprivileged_userns</span></div><div><span style=\"font-size: 14px;\"># 返回 1 → 默认阻断；返回 0 → 可能受影响</span></div><div><span style=\"font-size: 14px;\"><br></span></div><div><span style=\"font-size: 14px;\">2. 检查 cifs-utils 是否安装及版本</span></div><div><span style=\"font-size: 14px;\"># RHEL/CentOS/Fedora/Rocky/Alma</span></div><div><span style=\"font-size: 14px;\">rpm -qa | grep cifs-utils</span></div><div><span style=\"font-size: 14px;\"><br></span></div><div><span style=\"font-size: 14px;\"># Ubuntu/Debian/Pop!_OS</span></div><div><span style=\"font-size: 14px;\">dpkg -l | grep cifs-utils</span></div><div><span style=\"font-size: 14px;\"><br></span></div><div><span style=\"font-size: 14px;\"># 查看版本号</span></div><div><span style=\"font-size: 14px;\">cifs.upcall --version</span></div><div><span style=\"font-size: 14px;\"># 判断标准</span></div><div><span style=\"font-size: 14px;\">cifs-utils 版本 < 6.14，不受影响（版本过旧，无命名空间切换功能）</span></div><div><span style=\"font-size: 14px;\">cifs-utils 版本 >= 6.14，可能受影响（需结合其他条件）</span></div><div><span style=\"font-size: 14px;\">cifs-utils 未安装，不受影响<br></span></div><div><br></div><div><span style=\"font-size: 14px; font-weight: bold;\">修复建议</span></div><div>1. 官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，升级至安全版本\nhttps://github.com/torvalds/linux/commit/3da1fdf4efbc490041eb4f836bf596201203f8f2</div><div>2. 缓解措施：</div><div>(1) 如业务不需要，卸载 cifs-utils 软件包：sudo apt remove cifs-utils 或 sudo yum remove cifs-utils；</div><div>(2) 如不需要 Kerberos 认证的 CIFS 挂载，删除或覆盖默认的 cifs.spnego request-key 规则：echo 'create cifs.spnego * * /usr/sbin/keyctl negate %k 30 %S' | sudo tee /etc/request-key.d/cifs.spnego.conf；</div><div>(3) 禁止非特权用户创建用户命名空间：sudo sysctl -w kernel.unprivileged_userns_clone=0（部分发行版）或 sudo sysctl -w user.max_user_namespaces=0；</div><div>(4) 如不需要 CIFS 功能，禁止加载 CIFS 内核模块：echo 'install cifs /bin/false' | sudo tee /etc/modprobe.d/disable-cifs.conf；</div><div>(5) 应用 Linux 内核补丁（添加 vet_description 验证），并更新至包含修复的发行版内核版本。</div><div><br></div><div><span style=\"font-size: 14px;\">【备注】：建议您在升级前做好数据备份工作，避免出现意外</span></div><div><span style=\"font-size: 14px;\"><br></span></div><div><span style=\"font-size: 14px; font-weight: bold;\">漏洞参考</span></div><div><a href=\"https://heyitsas.im/posts/cifswitch/\" title=\"https://heyitsas.im/posts/cifswitch/\" style=\"color: rgb(0, 164, 255); text-decoration: none; word-break: break-all; overflow-wrap: normal; font-size: 14px;\">https://heyitsas.im/posts/cifswitch/</a><br></div><div><a href=\"https://github.com/manizada/CIFSwitch/\" title=\"https://github.com/manizada/CIFSwitch/\" style=\"color: rgb(0, 164, 255); text-decoration: none; word-break: break-all; overflow-wrap: normal; font-size: 14px;\">https://github.com/manizada/CIFSwitch/</a><br></div><div><br></div></span><p align=\"right\" style=\"margin-bottom:0px;\"><a href=\"https://cloud.tencent.com\" title=\"点击进入腾讯云官网首页\"><span style=\"font-size: 14px;\"></span><img src=\"https://qcloudimg.tencent-cloud.cn/raw/3a9dd87ab5d626ea94b3313d147e32ec.png\" alt=\"img\" height=\"40\"></a></p><p align=\"right\" style=\"margin-top:0px;line-height:10px;\"><span id=\"date\" style=\"font-family: 微软雅黑; font-size: 14px;\">2026-05-29</span></p>",
"end_time": "2026-06-28T18:16:41+00:00",
"is_important": false
}