CVE-2026-64394

Beschreibung

Im Linux-Kernel wurde die folgende Sicherheitslücke behoben: ksmbd: add a WRITE DAC/WRITE OWNER check to SMB2 SET INFO SECURITY commit cc57232cae23 ("ksmbd: fix FSCTL permission bypass by add a permission check for FSCTL SET SPARSE") fügte ein fp->daccess-Gate zu fsctl set sparse hinzu und stellte fest, dass "ähnliche Handle-Level-Checks in anderen Funktionen vorhanden sind, aber hier fehlen". Der SMB2 SET INFO SECURITY-Arm ist einer der fehlenden und der sicherheitsrelevanteste: smb2 set info sec() ruft set info sec() ohne Zugriffsprüfung per Handle auf. set info sec() (fs/smb/server/smbacl.c) erlaubt die Datei erneut: Sie schreibt den Besitzer/die Gruppe/den Modus über notification change(), schreibt die POSIX ACL über set posix acl() und auf KSMBD SHARE FLAG ACL XATTR-Shares entfernt und schreibt den Windows-Sicherheitsdeskriptor über ksmbd vfs set sd xattr(). Jeder andere Persistenzmutationsarm des Geschwisterhandlers smb2 set info file() prüft zuerst fp->daccess (FILE WRITE DATA / FILE DELETE / FILE WRITE EA / FILE WRITE ATTRIBUTES); der SECURITY-Arm, der die Zugriffskontrolle selbst mutiert, ist der einzige ohne Gate. Ein Client kann daher nur einen Handle mit FILE WRITE ATTRIBUTES öffnen (kein FILE WRITE DAC / FILE WRITE OWNER) und SMB2 SET INFO mit InfoType SMB2 O INFO SECURITY verwenden, um die DACL und den Besitzer der Datei neu zu schreiben, wodurch er sich Zugriff auf den Daccess des Handles gewährt, der nie übertragen wurde. Im Gegensatz zu den FSCTL-Datenarmen handelt es sich um eine Metadaten/Xattr-Operation, so dass es keinen FMODE WRITE VFS-Backstop gibt - der fehlende fp->daccess-Check ist das gesamte Gate. Das Festlegen eines Sicherheitsdeskriptors ist die WRITE DAC / WRITE OWNER-Operation, also fordern Sie mindestens einen von denen im Handle an, bevor Sie die Datei erneut zulassen. -EACCES wird von smb2 set info() auf STATUS ACCESS DENIED abgebildet.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: linux linux kernel.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.