cifswitch-check

एक शेल स्क्रिप्ट जो यह जाँचने के लिए है कि क्या कोई लिनक्स सिस्टम CIFSwitch (CVE-2026-46243) — लिनक्स कर्नेल के CIFS/SMB क्लाइंट में 2007 से मौजूद एक स्थानीय विशेषाधिकार वृद्धि भेद्यता — के संपर्क में है।

बेयर-मेटल होस्ट, VM, और कंटेनरों के अंदर चलता है। सीधे CI/CD पाइपलाइनों में डालने के लिए डिज़ाइन किया गया है।

---

पृष्ठभूमि

CIFSwitch को 28 मई 2026 को सुरक्षा शोधकर्ता Asim Manizada द्वारा खुलासा किया गया था। यह खामी कर्नेल के cifs.spnego कुंजी प्रकार में इनपुट सत्यापन की कमी को cifs-utils से रूटफुल cifs.upcall हेल्पर के साथ जोड़ती है।

एक अनप्रिविलेज्ड स्थानीय उपयोगकर्ता गढ़े गए कुंजी विवरण के साथ request_key() को कॉल कर सकता है, जिससे कर्नेल cifs.upcall को रूट के रूप में हमलावर-नियंत्रित फ़ील्ड के साथ लागू करता है। upcall_target=app के साथ, हेल्पर हमलावर के माउंट नेमस्पेस में प्रवेश करता है और विशेषाधिकार छोड़ने से पहले एक getpwuid() लुकअप करता है — एक हमलावर-नियंत्रित NSS मॉड्यूल लोड करता है और रूट के रूप में मनमाना कोड निष्पादित करता है।

शोषण के लिए पूर्वापेक्षाएँ:

• एक असुरक्षित कर्नेल (2007 से मौजूद, 6.18.22 / 6.19.12 / 7.0+ में ठीक किया गया)
• cifs-utils >= 6.14 स्थापित
• अनप्रिविलेज्ड उपयोगकर्ता नेमस्पेस सक्षम (अधिकांश डिस्ट्रो पर डिफ़ॉल्ट)
• पथ को अवरुद्ध करने वाली कोई प्रवर्तन SELinux/AppArmor नीति नहीं

एक सार्वजनिक PoC manizada/CIFSwitch पर उपलब्ध है।

---

यह क्या जाँचता है

जाँच	विवरण
KERNEL_VERSION	चल रहे कर्नेल की तुलना पैच किए गए अपस्ट्रीम संस्करणों से करता है (नोट: डिस्ट्रो पैकेज अभी भी जारी हो रहे हैं)
CIFS_UTILS	cifs-utils स्थापना और शोषण योग्य संस्करण (>= 6.14) का पता लगाता है
CIFS_MODULE	जाँचता है कि CIFS कर्नेल मॉड्यूल लोड, अंतर्निहित, या ब्लैकलिस्टेड है
USERNS	kernel.unprivileged_userns_clone या user.max_user_namespaces sysctl पढ़ता है
REQUESTKEY_RULE	cifs.upcall को कॉल करने वाले सक्रिय cifs.spnego नियम की जाँच करता है
MAC_POLICY	प्रवर्तन SELinux या AppArmor का पता लगाता है (पैच किए गए डिस्ट्रो पर शोषण को अवरुद्ध करता है)
CONTAINER_CAPS	कंटेनरों में: CAP_SYS_ADMIN की जाँच करता है (अप्रतिबंधित userns सक्षम करता है)
CONTAINER_PROC	कंटेनरों में: /proc/sys तक लेखन पहुँच की जाँच करता है (विशेषाधिकार प्राप्त कंटेनर)
FIX_SYMBOL	यदि CIFS लोड है और /proc/kallsyms पढ़ने योग्य है: फिक्स कमिट प्रतीक की उपस्थिति सत्यापित करता है

---

उपयोग

# क्लोन या डाउनलोड करें
curl -O https://raw.githubusercontent.com/liamromanis101/cifswitch-check/main/cifswitch-check.sh
chmod +x cifswitch-check.sh

# इंटरैक्टिव रूप से चलाएँ (रंगीन आउटपुट)
./cifswitch-check.sh

# मौन मोड — केवल FAIL और अंतिम फैसला
./cifswitch-check.sh --quiet

# JSON आउटपुट — CI/CD पाइपलाइनों, SIEM अंतर्ग्रहण के लिए
./cifswitch-check.sh --ci

# कोई रंग नहीं (सादा पाठ, लॉगिंग के लिए उपयोगी)
./cifswitch-check.sh --no-colour

# यह स्क्रिप्ट Agensi से SKILL के रूप में भी उपलब्ध है:
https://www.agensi.io/skills/cve-2026-46243-cifswitch

निकास कोड

कोड	अर्थ
0	असुरक्षित नहीं, या सभी महत्वपूर्ण शमन उपाय मौजूद हैं
1	असुरक्षित — एक या अधिक FAIL जाँच
2	स्क्रिप्ट त्रुटि

---

उदाहरण आउटपुट

इंटरैक्टिव (मानव-पठनीय)

  CIFSwitch भेद्यता जाँच  (CVE-2026-46243)
  कर्नेल: 6.18.5   होस्ट: myserver   कंटेनर: false
────────────────────────────────────────────────────────────────────────
[FAIL] KERNEL_VERSION         कर्नेल 6.18.5 अपैच्ड प्रतीत होता है। ठीक किया गया: >= 6.18.22, >= 6.19.12, >= 7.0 में। अपना कर्नेल अपडेट करें।
[PASS] CIFS_UTILS             cifs-utils स्थापित नहीं — cifs.upcall हेल्पर अनुपस्थित, हमला श्रृंखला टूट गई
[PASS] CIFS_MODULE            इस सिस्टम पर CIFS कर्नेल मॉड्यूल मौजूद नहीं
[FAIL] USERNS                 user.max_user_namespaces = 15980 (शून्येतर)। नेमस्पेस चरण को अवरुद्ध करने के लिए अक्षम करें:
[PASS] REQUESTKEY_RULE        कोई cifs.spnego अनुरोध-कुंजी नियम नहीं मिला — rootful cifs.upcall लागू नहीं किया जाएगा
[WARN] MAC_POLICY             कोई प्रवर्तन MAC नीति (SELinux/AppArmor) का पता नहीं चला
[ -- ] FIX_SYMBOL             CIFS मॉड्यूल लोड नहीं — प्रतीक जाँच छोड़ी गई
────────────────────────────────────────────────────────────────────────

  फैसला: असुरक्षित — उपचार आवश्यक
  संदर्भ: https://heyitsas.im/posts/cifswitch/

JSON (--ci)

{
  "scanner": "cifswitch-check",
  "cve": "CVE-2026-46243",
  "timestamp": "2026-06-03T00:10:08Z",
  "hostname": "myserver",
  "kernel": "6.18.5",
  "in_container": false,
  "overall": "FAIL",
  "checks": [
    {"check": "KERNEL_VERSION", "status": "FAIL", "detail": "Kernel 6.18.5 appears unpatched. Fixed in: >= 6.18.22, >= 6.19.12, >= 7.0. Update your kernel."},
    {"check": "CIFS_UTILS",     "status": "PASS", "detail": "cifs-utils NOT installed — cifs.upcall helper absent, attack chain is broken"},
    {"check": "CIFS_MODULE",    "status": "PASS", "detail": "CIFS kernel module not present on this system"},
    {"check": "USERNS",         "status": "FAIL", "detail": "user.max_user_namespaces = 15980 (non-zero). Disable to block namespace step:"},
    {"check": "REQUESTKEY_RULE","status": "PASS", "detail": "No cifs.spnego request-key rule found — rootful cifs.upcall will not be invoked"},
    {"check": "MAC_POLICY",     "status": "WARN", "detail": "No enforcing MAC policy (SELinux/AppArmor) detected"},
    {"check": "FIX_SYMBOL",     "status": "INFO", "detail": "CIFS module not loaded — symbol check skipped"}
  ]
}

---

CI/CD एकीकरण

GitHub Actions

- name: CIFSwitch भेद्यता जाँच
  run: |
    chmod +x ./cifswitch-check.sh
    ./cifswitch-check.sh --ci | tee cifswitch-result.json
  # निकास कोड 1 चरण को विफल कर देगा यदि रनर असुरक्षित है

GitLab CI

cifswitch-check:
  stage: security
  script:
    - chmod +x cifswitch-check.sh
    - ./cifswitch-check.sh --ci > cifswitch-result.json
  artifacts:
    paths:
      - cifswitch-result.json

Jenkins

stage('CIFSwitch जाँच') {
    steps {
        sh 'chmod +x cifswitch-check.sh && ./cifswitch-check.sh --ci > cifswitch-result.json'
        archiveArtifacts artifacts: 'cifswitch-result.json'
    }
}

---

शमन (यदि पैचिंग तुरंत संभव नहीं है)

1. अपने कर्नेल को पैच करें (जब आपका डिस्ट्रो पैकेज उपलब्ध हो)

अपस्ट्रीम फिक्स कमिट 3da1fdf4efbc है, जो कर्नेल >= 6.18.22, >= 6.19.12, और >= 7.0 में स्थिर के लिए कतारबद्ध है। डिस्ट्रो बैकपोर्ट सक्रिय रूप से जारी हो रहे हैं — CVE-2026-46243 के लिए अपने विक्रेता की सुरक्षा सलाह देखें। जब तक कोई पैकेज उपलब्ध न हो, नीचे दिए गए शमन लागू करें।

2. cifs-utils हटाएँ (यदि आप CIFS/SMB माउंट का उपयोग नहीं करते हैं तो हमला श्रृंखला पूरी तरह से टूट जाती है)

apt remove cifs-utils       # Debian / Ubuntu
dnf remove cifs-utils       # RHEL / Fedora / AlmaLinux

2. अनप्रिविलेज्ड उपयोगकर्ता नेमस्पेस अक्षम करें (नेमस्पेस पिवट चरण को अवरुद्ध करता है)

# Debian / Ubuntu
sysctl -w kernel.unprivileged_userns_clone=0
echo 'kernel.unprivileged_userns_clone=0' >> /etc/sysctl.d/99-cifswitch.conf

# RHEL / Fedora / upstream
sysctl -w user.max_user_namespaces=0

⚠️ यह Flatpak, रूटलेस Podman/Docker, और Chrome/Chromium सैंडबॉक्सिंग को तोड़ सकता है।

3. cifs.spnego अनुरोध-कुंजी नियम अक्षम करें

sed -i 's|^create cifs.spnego|#create cifs.spnego|' /etc/request-key.d/cifs.spnego.conf

4. CIFS कर्नेल मॉड्यूल को ब्लैकलिस्ट करें (यदि SMB नेटवर्क माउंट उपयोग में नहीं हैं)

echo 'blacklist cifs' >> /etc/modprobe.d/blacklist-cifs.conf
rmmod cifs 2>/dev/null || true
depmod -a

---

प्रभावित वितरण

शोषण के लिए cifs-utils >= 6.14 स्थापित और अनप्रिविलेज्ड उपयोगकर्ता नेमस्पेस सक्षम होना आवश्यक है। डिफ़ॉल्ट कॉन्फ़िगरेशन में असुरक्षित सिद्ध वितरणों में AlmaLinux 8/9, RHEL 8/9, CloudLinux 8/9/10, और cifs-utils वाले कई Ubuntu/Debian रिलीज़ शामिल हैं।