Две RCE-уязвимости в KSMBD раскрыты в публичных списках до выхода патчей ядра

Linux-серверы, использующие KSMBD — встроенный в ядро SMB-сервер, — оказались уязвимы к двум ошибкам удалённого выполнения кода. Обе получили оценку 9.0 по шкале CVSS от Zero Day Initiative компании Trend Micro, и ни для одной пока нет исправления в основной ветке ядра.

Две разные ошибки

Первая, ZDI-CAN-33774, не требует аутентификации и угрожает любому серверу с запущенным KSMBD на порту 445. Это гонка в том, как KSMBD назначает таблицу обработчиков: серия коротких пакетов SMB1, за которой в той же TCP-записи следует пакет SMB2, заставляет рабочие потоки обрабатывать данные SMB1 обработчиком SMB2 и читать за границей более короткого буфера. При доступе к сетевой папке открывается и путь к записи за пределы буфера.

Вторая, ZDI-CAN-33549, — целочисленное переполнение в тракте SMB Direct. Клиент передаёт дескрипторы RDMA-буферов, первый из которых длиннее заявленной нагрузки, из-за чего счётчик размера на сервере переполняется, и последующее копирование памяти выходит за границу выделенного буфера. Для атаки нужны RDMA-интерфейс (аппаратный или программный драйвер rxe), доступная для записи папка и клиент, согласующий SMB Direct.

Исправлений пока нет

Ни у одной ошибки на четверг не было именованного исправления ни в основной ветке, ни в linux-next. Сайт Phoronix сообщил, что сопровождающий SMB Direct Штефан Мецмахер отправил патч для ZDI-CAN-33549 к следующему циклу разработки, но это не подтверждено из других источников. CVE-идентификаторов у уязвимостей тоже нет: проект ядра присваивает их лишь после появления исправления в стабильной ветке. Проверить наличие модуля можно командами systemctl status ksmbd или lsmod | grep ksmbd; по документации Red Hat, в RHEL KSMBD по умолчанию не входит.

Нашёл ИИ, отправлено в открытые списки

Обе ошибки обнаружил TrendAI — ИИ-сканер Trend Micro. Обновлённая в мае 2026 года документация по безопасности ядра, следуя указаниям Линуса Торвальдса, гласит, что найденные ИИ-инструментами баги по определению уже публичны и должны направляться в списки разработчиков подсистем. ZDI так и поступила, скопировав отчёты в открытые рассылки без приложенных патчей.

Сопровождающий стабильного ядра Грег Кроа-Хартман ответил на три из пяти отчётов с разницей в минуты. По поводу бага в драйвере GPU VMware он написал: «Непонятно, зачем вы отправили это в публичные списки и не приложили патч — сделать с этим особо нечего». Через семнадцать секунд по отчёту о драйвере NVMe: «Снова без патча и в публичный список? Пожалуйста, исправьте процесс подачи».

Из пяти отчётов по ядру три не связаны с SMB: локальное повышение привилегий в сетевом стеке (ZDI-CAN-33367) и в драйвере GPU VMware (ZDI-CAN-34068), а также раскрытие информации в драйвере NVMe-таргета (ZDI-CAN-34076). Шестой отчёт, ZDI-CAN-32005, касается переполнения буфера в сетевом демоне ConnMan, который к ядру отношения не имеет.

Источник: The Hacker News