CVE-2026-12505: Rettighedsfejl i cifs-utils

CVE-2026-12505 er en sikkerhedsfejl i cifs-utils, en pakke der lader Linux-systemer montere netværksdrev efter SMB/CIFS-protokollen, som bruges til Windows-fildeling. Fejlen sidder i hjælpeprogrammet cifs.upcall, der kører med root-rettigheder, altså fulde administratorrettigheder, for at slå brugerinformation op. Programmet dropper ikke sine rettigheder korrekt, før det slår op i et miljø, som brugeren selv kan kontrollere. En lokal bruger kan derfor sende en forfalsket forespørgsel, kaldet request_key, der narrer hjælpeprogrammet til at indlæse et selvvalgt NSS-modul, en softwarekomponent til navneopslag. Modulet kører herefter som root, og brugeren kan udføre vilkårlige kommandoer med fulde rettigheder.

Sårbarheden rammer Linux-servere og -arbejdsstationer, der har cifs-utils installeret og bruger det til at montere Windows-netværksdrev eller andre SMB/CIFS-delte drev. Det gælder typisk filservere, applikationsservere og virtuelle maskiner i danske virksomheder, der er sat op til at tilgå Windows-fileshares fra Linux. NVD-dataene angiver ikke specifikke versionsnumre eller distributioner, så I bør tjekke jeres pakkehåndtering, for eksempel dpkg eller rpm, for om cifs-utils er installeret, og følge jeres Linux-leverandørs sikkerhedsmeddelelser for rettede versioner.

En angriber, der allerede har en almindelig brugerkonto på en sårbar Linux-server, for eksempel gennem en kompromitteret medarbejderkonto eller en sårbar webapplikation, kan udnytte fejlen til at opnå fulde root-rettigheder. Herfra kan angriberen læse og ændre alle data på systemet, installere bagdøre, slette logs for at skjule sporene og bruge serveren som springbræt til andre systemer på netværket, herunder de Windows-fileshares, serveren i forvejen har adgang til.

CVSS-scoren er 7,8 ud af 10, hvilket er alvorligt. Fejlen kræver dog, at angriberen allerede har en lokal konto med lave rettigheder på systemet, den kan ikke udnyttes direkte over internettet. Til gengæld kræver angrebet ingen handling fra andre brugere, kompleksiteten er lav, og konsekvensen er fuld kompromittering af systemets fortrolighed, integritet og tilgængelighed. NVD-oplysningerne indikerer ikke, at fejlen er udnyttet i praksis, og der er ikke offentliggjort kode til at udnytte den, ved offentliggørelsen den 18. juni 2026.

Følg disse trin for at lukke hullet og begrænse risikoen, mens I venter på en rettelse:

1. Tjek om cifs-utils er installeret på jeres Linux-servere og -arbejdsstationer, og opdatér pakken til den rettede version, så snart jeres distributør udgiver den.
2. Følg sikkerhedsmeddelelser fra jeres Linux-leverandør, for eksempel Red Hat, Debian, Ubuntu eller SUSE, for at se, hvornår en rettet version er klar.
3. Begræns antallet af lokale brugerkonti på servere, der bruger cifs.upcall, og fjern konti, der ikke er strengt nødvendige.
4. Overvåg logfiler for usædvanlig brug af request_key og cifs.upcall, særligt forsøg på at indlæse ukendte moduler.
5. Gennemgå, om servere med cifs-utils overhovedet skal montere eksterne SMB/CIFS-drev, og fjern funktionen, hvis den ikke bruges.
6. Få hjælp fra en sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om jeres systemer er sårbare, eller hvis I opdager tegn på misbrug.