Linux KSMBD: due RCE CVSS 9.0 rese pubbliche prima delle patch

Dopo PwnEscape, la falla dello stack di rete che permetteva a una VM guest di leggere la memoria dell’host, un’altra coppia di difetti critici del kernel Linux è diventata pubblica prima che le correzioni arrivassero alle distribuzioni. Questa volta riguarda KSMBD, il server SMB integrato nel kernel, ed è raggiungibile dalla rete.

Secondo ICT Security Magazine, che ha seguito i thread sulle liste di sviluppo del kernel, il 21 ottobre 2026 sono stati resi pubblici i report di due vulnerabilità di esecuzione di codice da remoto. Entrambe hanno un punteggio CVSS 9.0 assegnato dalla Zero Day Initiative (ZDI) di Trend Micro, non da NVD, e nessuna ha ancora un CVE. Ne hanno scritto anche The Hacker News (22 ottobre) e Infosecurity Magazine (26 ottobre); del testo di The Hacker News conosciamo solo quanto riportato dalle altre fonti.

Le due vulnerabilità

La pagina degli advisory ZDI in arrivo elenca ZDI-CAN-33774 e ZDI-CAN-33549, vendor «Linux», inserite il 21 ottobre 2026 con scadenza di divulgazione al 18 febbraio 2027. La pagina non nomina KSMBD: i dettagli tecnici stanno nei report inviati alle liste. Il vettore indicato per entrambe è AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H: attacco via rete, senza credenziali né interazione dell’utente, ma con complessità alta.

ZDI-CAN-33774 – negoziazione del protocollo. Il gestore delle operazioni della connessione viene scelto quando la richiesta entra in coda e letto quando viene elaborata. Una richiesta SMB1 breve seguita da una SMB2 nello stesso invio TCP può quindi essere trattata con le funzioni SMB2 e letta oltre la fine del proprio buffer. Il report indica anche un percorso di scrittura fuori dai limiti. Condizioni per l’innesco, secondo il report: una race condition e una condivisione con accesso guest.

ZDI-CAN-33549 – SMB Direct (RDMA). Un integer underflow nel calcolo della lunghezza dei descrittori di buffer porta a scrivere oltre la memoria allocata. Servono un dispositivo RDMA (nel test il driver software rxe), una condivisione scrivibile e SMB Direct attivo. Il report include script di riproduzione e il sorgente di un client di prova; il test è stato fatto su un kernel 7.3-rc3 con una condivisione guest. Il credito è di Hyeontae Lee, che lavora con la Zero Day Initiative.

In MITRE ATT&CK lo scenario corrisponde a T1210, Exploitation of Remote Services.

Stato delle correzioni

• ZDI-CAN-33774: il maintainer di KSMBD, Namjae Jeon, ha risposto il 22 ottobre che il problema è già corretto dal commit 68f410fa del suo albero, che fa attendere la fine della negoziazione prima di leggere un altro pacchetto. Che il commit corregga proprio questo difetto è un’indicazione del maintainer.
• ZDI-CAN-33549: Stefan Metzmacher, responsabile di SMB Direct, ha chiesto al ricercatore di provare il ramo for-7.5/smbdirect del suo repository, scrivendo di ritenere il problema già risolto lì. È un’ipotesi, non una correzione confermata.

Nessuna delle due correzioni è nel kernel mainline. Il progetto kernel assegna il CVE dopo la correzione in un ramo stabile, e l’arrivo nei kernel delle distribuzioni richiede di norma settimane dopo l’accettazione upstream.

Perché i dettagli sono già pubblici

Secondo ICT Security Magazine i report sono stati inviati all’indirizzo privato di sicurezza del kernel con le liste pubbliche in copia e senza patch; Greg Kroah-Hartman ha risposto nel thread lamentando di nuovo l’assenza di patch e l’uso di una lista pubblica. Le fonti divergono sul perché: Phoronix, citato dal magazine, parla di un invio apparentemente accidentale; The Hacker News lo collega alla documentazione di sicurezza del kernel aggiornata a maggio 2026 sui bug trovati con strumenti di intelligenza artificiale, collegamento che il thread non conferma.

Infosecurity Magazine inquadra la vicenda in un contesto più ampio: sei falle di Linux rese pubbliche prima delle correzioni, tra cui una con un exploit funzionante per ottenere i privilegi di root e nessuna correzione integrata. Di questo articolo abbiamo solo il riassunto: non sappiamo quali siano le altre falle.

Chi è esposto

KSMBD non è attivo di default sulle principali distribuzioni; secondo The Hacker News, Red Hat Enterprise Linux non lo include. Sono esposti soprattutto NAS, sistemi embedded e file server dove è stato abilitato al posto di Samba. Per ZDI-CAN-33549 serve anche un dispositivo RDMA. Il punto critico è la tempistica: descrizione dei difetti e, per SMB Direct, codice di riproduzione sono pubblici prima di una release corretta, e non ci sono ancora CVE da cercare negli scanner o nei bollettini.

Per le aziende italiane ed europee il rischio si concentra su apparati spesso fuori dal normale ciclo di aggiornamento: NAS di reparto, storage di filiali, appliance con firmware del produttore. Per i soggetti NIS2 rientra nella gestione delle vulnerabilità e dell’esposizione dei servizi; nella sanità vanno considerati i NAS che ospitano referti, immagini o backup.

Cosa fare subito

1. Verifica se KSMBD è attivo: lsmod | grep ksmbd e systemctl status ksmbd; controlla se la porta 445 è servita da KSMBD o da Samba.
2. Dove non serve, fermalo e metti il modulo in blacklist.
3. Dove serve, limita la porta 445 con il firewall ai soli segmenti fidati, non esporla mai su internet ed elimina le condivisioni con accesso guest: il costo è l’interruzione delle condivisioni servite dal kernel.
4. SMB Direct: controlla se ci sono dispositivi RDMA e se SMB Direct è attivo; se non serve, disattivalo.
5. Chiedi ai produttori di NAS e appliance se il loro firmware usa KSMBD e quando arriverà la correzione.
6. Segui gli advisory delle distribuzioni per CVE e backport: gli identificativi dei commit possono cambiare al momento del merge.

Il progetto kernel non ha pubblicato mitigazioni ufficiali: queste sono misure di contenimento. Non sono stati pubblicati indicatori di compromissione; tieni d’occhio crash o errori del kernel legati a KSMBD e connessioni SMB inattese da indirizzi esterni.

Come aiuta ARXDOME

L’inventario di ARX Sentry riporta sistema, software, processi e porte dei server Linux con l’agent: aiuta a trovare dove gira KSMBD e chi ascolta sulla porta 445. ARX Expose e ARX Scout mostrano se un servizio SMB è esposto sui tuoi indirizzi pubblici, e ARX Scout ti avvisa quando si apre una porta prima chiusa.

Ultimo aggiornamento: 26 ottobre 2026