【漏洞通告】Linux Kernel CIFSwitch 权限提升漏洞

2026年5月29日，深瞳漏洞实验室监测到一则Linux Kernel组件存在权限提升漏洞的信息，漏洞威胁等级：高危。

该漏洞的核心问题出在 Linux Kernel CIFS 组件的 cifs.spnego 密钥处理流程中。由于相关密钥类型未对密钥描述内容进行来源校验，内核无法有效判断该描述是否由合法的 CIFS 认证流程生成，导致本地低权限用户有机会向后续 upcall 流程传入伪造参数。 攻击者在本地低权限条件下，可构造异常的 cifs.spnego 密钥请求，使系统通过 request-key 机制以高权限拉起 cifs.upcall 辅助程序。随后，cifs.upcall 在处理攻击者可控参数时，可能进入攻击者指定的命名空间，并在执行账户信息解析等操作过程中触发 NSS 动态库加载。若攻击者已在相应命名空间中准备恶意 NSS 共享库，即可使代码在 root 上下文中运行，从而实现本地权限提升。

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，升级至安全版本：上游 commit：https://github.com/torvalds/linux/commit/3da1fdf4efbc490041eb4f836bf596201203f8f2各发行版的内核更新可关注其安全公告频道，按官方节奏跟进发布的修复内核包。

（1）卸载 cifs-utils 软件包（业务不需要时优先选择）

（2）覆盖默认的 cifs.spnego request-key 规则（不需要 Kerberos 认证的 CIFS 挂载场景）

（3）禁止非特权用户创建用户命名空间

（4）禁止加载 CIFS 内核模块（业务不需要 CIFS 功能时）

（5）应用上游内核补丁，并更新至包含修复的发行版内核版本

本质是引入 vet_description 验证，从根本上消除内核 CIFS 与不可信用户态密钥描述的混淆。

漏洞主动检测

支持对Linux Kernel CIFSwitch 权限提升漏洞的主动检测，可批量快速检出业务场景中是否存在漏洞风险，相关产品如下：

【深信服云镜YJ】预计2026年06月05日发布检测方案，规则ID:SF-2026-00932。

【深信服可拓展检测响应平台XDR】预计2026年06月05日发布检测方案（需要具备云镜组件能力），规则ID:SF-2026-00932。

https://heyitsas.im/posts/cifswitch/

点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。