尊敬的金融专区用户，您好！
金融专区安全运营团队监测到，Linux Kernel 被披露其存在本地权限提升漏洞，暂无漏洞编号，代号 "CIFSwitch"。可导致本地无特权攻击者通过伪造 cifs.spnego 密钥描述，触发加载攻击者控制的 NSS 模块，从而获得 root 权限等危害。
为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。
漏洞详情
Linux Kernel 是全球最广泛使用的开源操作系统内核，它是 Linux 系统的核心组件，负责管理硬件资源、进程调度、内存管理、文件系统和网络功能等底层任务。
据描述，在 Linux Kernel CIFS 组件（自 2007 年起）与 cifs-utils 6.14 及以上版本的组合中，由于内核中的 cifs.spnego 密钥类型定义缺少 vet_description 验证钩子，无法区分密钥描述是来自内核 CIFS 模块还是来自不可信的用户态进程。攻击者可通过 request_key() 系统调用直接提交伪造的密钥描述（其中包含攻击者控制的 pid 和 upcall_target=app 字段），触发 /sbin/request-key 调用以 root 权限启动 cifs.upcall 辅助程序。该辅助程序在解析攻击者控制的 pid 后，会切换到攻击者指定的命名空间，随后在调用 getpwuid() 进行账户查找时，通过 NSS (Name Service Switch) 机制加载攻击者预先放置在挂载命名空间中的恶意 libnss_*.so.2 共享库，最终在 root 辅助进程上下文中执行任意代码，实现本地权限提升。
目前该漏洞的漏洞细节、POC已公开。
风险等级
高风险
漏洞风险
本地攻击者利用该漏洞可在未授权的情况下获得系统 root 权限，导致系统完全失陷、数据泄露及任意代码执行等危害。
影响版本
commit < 3da1fdf4efbc490041eb4f836bf596201203f8f2
目前已知受影响的系统：
Linux Mint 21.3/22.3 Cinnamon
CentOS Stream 9 GNOME
Rocky Linux 9 Workstation
Kali Linux 2021.4/2022.4/2023.4/2024.4/2025.4/2026.1 headless
AlmaLinux 9.7 Workstation/Azure cloud image
SLES 15 SP7/SAP 15 SP7
SLES SAP 16
安全版本
commit >= 3da1fdf4efbc490041eb4f836bf596201203f8f2
目前已知不受影响的系统：
Amazon Linux 2 KVM
Kali Linux 2019.4/2020.4
默认策略阻断的系统
未安装 cifs-utils 的系统
排查方法
1. 检查 SELinux/AppArmor 状态
# SELinux 状态（RHEL/CentOS/Fedora/Rocky/Alma）
getenforce
# Enforcing → 默认阻断；Permissive/Disabled → 可能受影响
# AppArmor 状态（Ubuntu/Debian/SUSE）
sudo aa-status
# 或检查用户命名空间限制
sysctl kernel.apparmor_restrict_unprivileged_userns
# 返回 1 → 默认阻断；返回 0 → 可能受影响
2. 检查 cifs-utils 是否安装及版本
# RHEL/CentOS/Fedora/Rocky/Alma
rpm -qa | grep cifs-utils
# Ubuntu/Debian/Pop!_OS
dpkg -l | grep cifs-utils
# 查看版本号
cifs.upcall --version
# 判断标准
cifs-utils 版本 < 6.14，不受影响（版本过旧，无命名空间切换功能）
cifs-utils 版本 >= 6.14，可能受影响（需结合其他条件）
cifs-utils 未安装，不受影响
修复建议
1. 官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，升级至安全版本 https://github.com/torvalds/linux/commit/3da1fdf4efbc490041eb4f836bf596201203f8f2
2. 缓解措施：
(1) 如业务不需要，卸载 cifs-utils 软件包：sudo apt remove cifs-utils 或 sudo yum remove cifs-utils；
(2) 如不需要 Kerberos 认证的 CIFS 挂载，删除或覆盖默认的 cifs.spnego request-key 规则：echo 'create cifs.spnego * * /usr/sbin/keyctl negate %k 30 %S' | sudo tee /etc/request-key.d/cifs.spnego.conf；
(3) 禁止非特权用户创建用户命名空间：sudo sysctl -w kernel.unprivileged_userns_clone=0（部分发行版）或 sudo sysctl -w user.max_user_namespaces=0；
(4) 如不需要 CIFS 功能，禁止加载 CIFS 内核模块：echo 'install cifs /bin/false' | sudo tee /etc/modprobe.d/disable-cifs.conf；
(5) 应用 Linux 内核补丁（添加 vet_description 验证），并更新至包含修复的发行版内核版本。
【备注】：建议您在升级前做好数据备份工作，避免出现意外
漏洞参考
https://heyitsas.im/posts/cifswitch/
https://github.com/manizada/CIFSwitch/
腾讯云 金融专区
2026-05-29
