Linux KSMBD: dos RCE CVSS 9.0 públicas antes de los parches

Después de PwnEscape, el fallo de la pila de red que permitía a una VM invitada leer la memoria del host, otra pareja de defectos críticos del kernel Linux se ha hecho pública antes de que las correcciones llegaran a las distribuciones. Esta vez afecta a KSMBD, el servidor SMB integrado en el kernel, y es alcanzable por la red.

Según ICT Security Magazine, que siguió los hilos de las listas de desarrollo del kernel, el 21 de octubre de 2026 se hicieron públicos los informes de dos vulnerabilidades de ejecución remota de código. Ambas tienen una puntuación CVSS 9.0 asignada por la Zero Day Initiative (ZDI) de Trend Micro, no por NVD, y ninguna tiene todavía un CVE. También publicaron la noticia The Hacker News (22 de octubre) e Infosecurity Magazine (26 de octubre); del texto de The Hacker News solo conocemos lo que recogen las otras fuentes.

Las dos vulnerabilidades

La página de avisos próximos de ZDI recoge ZDI-CAN-33774 y ZDI-CAN-33549, fabricante «Linux», añadidas el 21 de octubre de 2026 con plazo de divulgación el 18 de febrero de 2027. La página no menciona KSMBD: los detalles técnicos están en los informes enviados a las listas. Ambas tienen el vector AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H: ataque por red, sin credenciales ni interacción del usuario, pero con complejidad alta.

ZDI-CAN-33774 – negociación del protocolo. El gestor de operaciones de la conexión se elige cuando la petición entra en la cola y se lee cuando se procesa. Una petición SMB1 corta seguida de una SMB2 en el mismo envío TCP puede tratarse con las funciones SMB2 y leerse más allá del final de su propio búfer. El informe describe también una vía de escritura fuera de límites. Condiciones para el disparo, según el informe: una condición de carrera y un recurso compartido con acceso de invitado.

ZDI-CAN-33549 – SMB Direct (RDMA). Un integer underflow en el cálculo de la longitud de los descriptores de búfer provoca escrituras más allá de la memoria asignada. Hacen falta un dispositivo RDMA (en la prueba, el driver software rxe), un recurso compartido con escritura y SMB Direct activo. El informe incluye scripts de reproducción y el código fuente de un cliente de prueba; se probó en un kernel 7.3-rc3 con un recurso de invitado. El mérito es de Hyeontae Lee, que trabaja con la Zero Day Initiative.

En MITRE ATT&CK el escenario corresponde a T1210, Exploitation of Remote Services.

Estado de las correcciones

• ZDI-CAN-33774: el mantenedor de KSMBD, Namjae Jeon, respondió el 22 de octubre que el problema ya está corregido con el commit 68f410fa de su árbol, que espera a que termine la negociación antes de leer otro paquete. Que el commit corrija exactamente este defecto es una indicación del mantenedor.
• ZDI-CAN-33549: Stefan Metzmacher, responsable de SMB Direct, pidió al investigador que probara la rama for-7.5/smbdirect de su repositorio, y escribió que cree que el problema ya está resuelto allí. Es una hipótesis, no una corrección confirmada.

Ninguna de las dos correcciones está en el kernel mainline. El proyecto del kernel asigna el CVE cuando la corrección llega a una rama estable, y la llegada a los kernels de las distribuciones suele tardar semanas tras la aceptación upstream.

Por qué los detalles ya son públicos

Según ICT Security Magazine, los informes se enviaron a la dirección privada de seguridad del kernel con las listas públicas en copia y sin parche; Greg Kroah-Hartman respondió en el hilo quejándose, una vez más, de la falta de parche y del uso de una lista pública. Las fuentes no coinciden en el motivo: Phoronix, citado por la revista, habla de un envío aparentemente accidental; The Hacker News lo relaciona con la documentación de seguridad del kernel actualizada en mayo de 2026 sobre fallos encontrados con herramientas de inteligencia artificial, relación que el hilo no confirma.

Infosecurity Magazine sitúa el caso en un contexto más amplio: seis fallos de Linux hechos públicos antes de las correcciones, entre ellos uno con un exploit funcional para obtener privilegios de root y sin corrección integrada. De ese artículo solo tenemos el resumen: no sabemos cuáles son los demás fallos.

Quién está expuesto

KSMBD no está activo por defecto en las principales distribuciones; según The Hacker News, Red Hat Enterprise Linux no lo incluye. Están expuestos sobre todo NAS, sistemas embebidos y servidores de archivos donde se ha activado en lugar de Samba. Para ZDI-CAN-33549 también hace falta un dispositivo RDMA. El punto crítico es el momento: la descripción de los defectos y, para SMB Direct, el código de reproducción son públicos antes de una versión corregida, y todavía no hay CVE que buscar en escáneres o boletines.

Para las empresas italianas y europeas el riesgo se concentra en equipos que a menudo quedan fuera del ciclo normal de actualización: NAS de departamento, almacenamiento en sucursales, appliances con firmware del fabricante. Para las entidades NIS2 entra en la gestión de vulnerabilidades y de la exposición de servicios; en sanidad hay que considerar los NAS que guardan informes, imágenes o copias de seguridad.

Qué hacer ya

1. Comprueba si KSMBD está activo: lsmod | grep ksmbd y systemctl status ksmbd; verifica si el puerto 445 lo sirve KSMBD o Samba.
2. Donde no haga falta, detenlo y pon el módulo en la lista negra.
3. Donde haga falta, limita el puerto 445 con el firewall a los segmentos de confianza, no lo expongas nunca a internet y elimina los recursos compartidos con acceso de invitado: el coste es interrumpir los recursos que sirve el kernel.
4. SMB Direct: comprueba si hay dispositivos RDMA y si SMB Direct está activo; si no lo necesitas, desactívalo.
5. Pregunta a los fabricantes de NAS y appliances si su firmware usa KSMBD y cuándo llegará la corrección.
6. Sigue los avisos de las distribuciones para CVE y backports: los identificadores de los commits pueden cambiar al hacer el merge.

El proyecto del kernel no ha publicado mitigaciones oficiales: estas son medidas de contención. No se han publicado indicadores de compromiso; vigila caídas o errores del kernel relacionados con KSMBD y conexiones SMB inesperadas desde direcciones externas.

Cómo ayuda ARXDOME

El inventario de ARX Sentry muestra sistema, software, procesos y puertos de los servidores Linux con el agent: ayuda a encontrar dónde funciona KSMBD y quién escucha en el puerto 445. ARX Expose y ARX Scout muestran si un servicio SMB está expuesto en tus direcciones públicas, y ARX Scout te avisa cuando se abre un puerto que antes estaba cerrado.

Última actualización: 26 de octubre de 2026