Linux KSMBD: două RCE CVSS 9.0 publice înainte de patch-uri

După PwnEscape, vulnerabilitatea din stiva de rețea care permitea unei mașini virtuale guest să citească memoria gazdei, încă două defecte critice ale kernelului Linux au devenit publice înainte ca remedierile să ajungă în distribuții. De data aceasta este vorba de KSMBD, serverul SMB integrat în kernel, accesibil prin rețea.

Potrivit ICT Security Magazine, care a urmărit discuțiile de pe listele de dezvoltare ale kernelului, pe 21 octombrie 2026 au fost făcute publice rapoartele a două vulnerabilități de execuție de cod de la distanță. Ambele au un scor CVSS 9.0 atribuit de Zero Day Initiative (ZDI) a Trend Micro, nu de NVD, și niciuna nu are încă un CVE. Au scris despre subiect și The Hacker News (22 octombrie) și Infosecurity Magazine (26 octombrie); din textul The Hacker News cunoaștem doar ce relatează celelalte surse.

Cele două vulnerabilități

Pagina ZDI cu avizele viitoare listează ZDI-CAN-33774 și ZDI-CAN-33549, producător „Linux”, adăugate pe 21 octombrie 2026, cu termen de dezvăluire 18 februarie 2027. Pagina nu menționează KSMBD: detaliile tehnice se află în rapoartele trimise pe liste. Ambele au vectorul AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H: atac prin rețea, fără credențiale și fără interacțiunea utilizatorului, dar cu complexitate ridicată.

ZDI-CAN-33774 – negocierea protocolului. Handlerul operațiilor conexiunii este ales când cererea intră în coadă și citit când este procesată. O cerere SMB1 scurtă urmată de o cerere SMB2 în aceeași trimitere TCP poate fi tratată cu funcțiile SMB2 și citită dincolo de capătul propriului buffer. Raportul descrie și o cale de scriere în afara limitelor. Condițiile de declanșare, potrivit raportului: o race condition și o partajare cu acces guest.

ZDI-CAN-33549 – SMB Direct (RDMA). Un integer underflow în calculul lungimii descriptorilor de buffer duce la scrieri dincolo de memoria alocată. Sunt necesare un dispozitiv RDMA (în test, driverul software rxe), o partajare cu drept de scriere și SMB Direct activ. Raportul include scripturi de reproducere și sursa unui client de test; testul a fost făcut pe un kernel 7.3-rc3 cu o partajare guest. Creditul îi aparține lui Hyeontae Lee, care lucrează cu Zero Day Initiative.

În MITRE ATT&CK scenariul corespunde tehnicii T1210, Exploitation of Remote Services.

Stadiul remedierilor

• ZDI-CAN-33774: maintainerul KSMBD, Namjae Jeon, a răspuns pe 22 octombrie că problema este deja corectată prin commitul 68f410fa din arborele său, care așteaptă finalizarea negocierii înainte de a citi un alt pachet. Faptul că acest commit corectează exact defectul raportat este afirmația maintainerului.
• ZDI-CAN-33549: Stefan Metzmacher, responsabil de SMB Direct, i-a cerut cercetătorului să testeze ramura for-7.5/smbdirect din repository-ul său, scriind că, după părerea lui, problema este deja rezolvată acolo. Este o ipoteză, nu o remediere confirmată.

Niciuna dintre remedieri nu este în kernelul mainline. Proiectul kernel atribuie CVE-ul după ce remedierea ajunge într-o ramură stabilă, iar ajungerea în kernelurile distribuțiilor durează de obicei câteva săptămâni după acceptarea upstream.

De ce detaliile sunt deja publice

Potrivit ICT Security Magazine, rapoartele au fost trimise la adresa privată de securitate a kernelului cu listele publice în copie și fără patch; Greg Kroah-Hartman a răspuns în discuție reproșând, din nou, lipsa patch-ului și folosirea unei liste publice. Sursele diferă în privința motivului: Phoronix, citat de revistă, vorbește despre o trimitere aparent accidentală; The Hacker News o leagă de documentația de securitate a kernelului actualizată în mai 2026 privind bugurile găsite cu instrumente de inteligență artificială, legătură pe care discuția nu o confirmă.

Infosecurity Magazine plasează cazul într-un context mai larg: șase vulnerabilități Linux făcute publice înainte de remediere, printre care una cu un exploit funcțional pentru privilegii de root și fără remediere integrată. Din acel articol avem doar rezumatul: nu știm care sunt celelalte vulnerabilități.

Cine este expus

KSMBD nu este activ implicit în principalele distribuții; potrivit The Hacker News, Red Hat Enterprise Linux nu îl include. Expuse sunt mai ales NAS-urile, sistemele embedded și serverele de fișiere unde a fost activat în locul Samba. Pentru ZDI-CAN-33549 este nevoie și de un dispozitiv RDMA. Punctul critic este momentul: descrierea defectelor și, pentru SMB Direct, codul de reproducere sunt publice înaintea unei versiuni corectate, iar încă nu există CVE-uri de căutat în scanere sau buletine.

Pentru companiile italiene și europene riscul se concentrează pe echipamente aflate adesea în afara ciclului normal de actualizare: NAS-uri de departament, stocare în filiale, appliance-uri cu firmware de la producător. Pentru entitățile NIS2 intră în gestionarea vulnerabilităților și a expunerii serviciilor; în sănătate trebuie avute în vedere NAS-urile care păstrează rezultate, imagini sau backupuri.

Ce să faci acum

1. Verifică dacă KSMBD este activ: lsmod | grep ksmbd și systemctl status ksmbd; verifică dacă portul 445 este servit de KSMBD sau de Samba.
2. Unde nu este necesar, oprește-l și pune modulul în blacklist.
3. Unde este necesar, limitează portul 445 din firewall doar la segmentele de încredere, nu-l expune niciodată pe internet și elimină partajările cu acces guest: costul este întreruperea partajărilor servite de kernel.
4. SMB Direct: verifică dacă există dispozitive RDMA și dacă SMB Direct este activ; dacă nu ai nevoie de el, dezactivează-l.
5. Întreabă producătorii de NAS-uri și appliance-uri dacă firmware-ul lor folosește KSMBD și când va sosi remedierea.
6. Urmărește avizele distribuțiilor pentru CVE-uri și backporturi: identificatorii commiturilor se pot schimba la merge.

Proiectul kernel nu a publicat atenuări oficiale: acestea sunt măsuri de izolare. Nu au fost publicați indicatori de compromitere; urmărește blocările sau erorile kernelului legate de KSMBD și conexiunile SMB neașteptate de la adrese externe.

Cum ajută ARXDOME

Inventarul ARX Sentry arată sistemul, software-ul, procesele și porturile serverelor Linux cu agentul instalat: te ajută să găsești unde rulează KSMBD și ce ascultă pe portul 445. ARX Expose și ARX Scout arată dacă un serviciu SMB este expus pe adresele tale publice, iar ARX Scout te avertizează când se deschide un port care înainte era închis.

Ultima actualizare: 26 octombrie 2026