CIFSwitch: KI-Agenten finden 19 Jahre alte Root-Lücke im Linux-Kernel

Angreifer können sich auf vielen Linux-Systemen Root-Rechte verschaffen. Hauptursache ist ein vor fast zwei Jahrzehnten eingeführter Kernel-Bug.

1. Juni 2026 um 14:15 Uhr / Marc Stöckel

Eine seit 2007 bestehende Lücke im Linux-Kernel gefährdet unzählige Systeme. Bild: pexels.com / Pixabay

Ein für SpaceX tätiger Sicherheitsforscher namens Asim Viladi Oglu Manizada hat eine Sicherheitslücke im Linux-Kernel aufgedeckt, mit der sich Angreifer je nach Konfiguration Root-Rechte verschaffen können. Aufgespürt wurde die Lücke laut Blogbeitrag des Forschers mithilfe von KI-Agenten. Ein anfälliger Kernel allein reicht aber wohl nicht aus, um die Schwachstelle ausnutzen zu können. Es müssen weitere Bedingungen erfüllt sein.

Den Angaben zufolge liegt die Ursache der CIFSwitch genannten Lücke bei der Schnittstelle zwischen dem CIFS-Modul (Common Internet File System) des Kernels und dem von cifs-utils bereitgestellten Userspace-Helper, welcher auf Linux-Systemen für die Kerberos-Authentifizierung verwendet wird.

Laut Bericht prüft der Kernel die Herkunft von cifs.spnego-Schlüsselobjekten nicht ordnungsgemäß. Daher sollen sich aus einem nicht vertrauenswürdigen Userspace request_key()-Systemaufrufe mit gefälschter Schlüsselbeschreibung auslösen lassen, bei deren Verarbeitung das System fälschlicherweise annimmt, dass sie vom Kernelmodul stammen.

Kernel-Bug seit 2007 vorhanden

Durch eine Verkettung weiterer Umstände soll sich dieser Fehler auf zahlreichen Linux-Systemen für eine Rechteausweitung auf Root ausnutzen lassen. Nähere Details dazu sind im Blogbeitrag von Manizada zu finden. Vorab sind wohl nur einfache Benutzerrechte erforderlich. Der zugrundeliegende Kernel-Bug soll schon seit 2007 existieren und ist damit etwa 19 Jahre alt.

Neben der Lücke im Kernel setzt CIFSwitch allerdings auch eine anfällige cifs-utils-Version voraus. Der anfällige Code befindet sich wohl in allen Versionen ab 6.14. Nach Angaben des Forschers können aber auch ältere Versionen anfällig sein, sofern die problematischen Codebestandteile dort durch Backports nachträglich hinzugefügt wurden. Bestimmte SELinux- und Apparmor-Richtlinien können CIFSwitch-Attacken aber wohl ebenfalls unterbinden.

Bunt gemischte Anfälligkeiten

Je nach Konfiguration ist also nicht jede Linux-Distribution ab Werk angreifbar. Zumindest Linux Mint 21.3 und 22.3, CentOS Stream 9, Rocky Linux 9, AlmaLinux 9.7 und mehrere Versionen von Kali Linux und Suse Linux Enterprise Server sollen jedoch nach Angaben des Forschers in der Standardkonfiguration anfällig sein.

Opensuse Leap 15.6, Rocky Linux 8, Amazon Linux 2023, Debian 11 bis 13 sowie Ubuntu 18.04, 20.04, 22.04 und 24.04 gelten hingegen nur als angreifbar, wenn cifs-utils manuell nachinstalliert wurde. Bei CentOS Stream 10, Opensuse Leap 16, AlmaLinux 10.1, Rocky Linux 10, Ubuntu 26.04 und Fedora 40 bis 44 soll die Ausnutzung von CIFSwitch derweil ab Werk immer blockiert werden, auch wenn cifs-utils vorhanden ist.

Patch verfügbar, Verbreitung unklar

Eine Auflistung aller nach aktuellem Kenntnisstand anfälligen Linux-Distributionen sowie der jeweils nötigen Voraussetzungen ist in Manizadas Blogbeitrag zu finden. Es gibt auch schon einen Kernel-Patch, der die Lücke schließt. Da es für CIFSwitch noch keine CVE-ID gibt, lässt sich aktuell aber nur schwer nachvollziehen, in welche Distributionen der Patch schon eingepflegt wurde.

Manizada nennt in seinem Blog auch noch ein paar alternative Workarounds. Demnach hilft es auch, das CIFS-Kernelmodul zu blockieren oder cifs-utils zu entfernen, sofern die entsprechenden Komponenten nicht benötigt werden. Ob ein Linux-System anfällig ist oder umgesetzte Schutzmaßnahmen wirksam sind, lässt sich anhand eines auf Github veröffentlichten Proof-of-Concept-Exploits überprüfen.

Nachtrag vom 2. Juni 2026, 10:12 Uhr

Inzwischen liegt mit CVE-2026-46243 auch eine CVE-ID zu CIFSwitch vor, anhand derer sich der Patch-Status der jeweiligen Distributionen leichter nachvollziehen lässt.