Für KSMBD-Sicherheitslücken fehlen Fixes im mainline kernel von Linux
Mit 9,0 bewertete KSMBD-Sicherheitslücken könnten Linux-Dateiserver für remote code execution (RCE) anfällig machen. Das bedeutet, dass ein Angreifer den Server möglicherweise über ein Netzwerk zur Ausführung schädlicher Anweisungen bringen kann. Die Zero Day Initiative (ZDI) von Trend Micro meldete die beiden als ZDI-CAN-33774 und ZDI-CAN-33549 bezeichneten Schwachstellen öffentlich. Mit Stand des Donnerstags, auf den sich die Berichterstattung bezog, gab es für keine von beiden einen benannten Fix im mainline kernel von Linux oder im integration tree linux-next.
KSMBD ist der im Linux kernel integrierte Server für Server Message Block (SMB), ein Protokoll, das häufig zur Freigabe von Dateien über ein Netzwerk verwendet wird. ZDI-CAN-33774 ist die umfassender exponierte der beiden Sicherheitslücken, da sie vor der Netzwerkauthentifizierung ausgelöst werden kann. Laut dem Bericht von ZDI kann jeder Server betroffen sein, auf dem KSMBD über port 445 läuft, ohne dass ein Angreifer zuvor gültige Anmeldedaten benötigt.
ZDI-CAN-33774 betrifft eine race condition, die entsteht, wenn Vorgänge aufgrund zeitlicher Überschneidungen in einer unerwarteten Reihenfolge ablaufen. KSMBD weist eine Tabelle zu, die Worker-Prozessen vorgibt, wie eingehende Protokollnachrichten zu verarbeiten sind. Ein Client kann mehrere kurze SMB1-Pakete und anschließend ein SMB2-Paket in demselben Transmission Control Protocol (TCP) write platzieren. Dadurch können Worker die kürzeren SMB1-Daten mit einem SMB2 handler verarbeiten, sodass Daten über das Ende des verfügbaren Buffer hinaus gelesen werden. ZDI beschrieb außerdem eine Möglichkeit, über den Buffer hinaus zu schreiben, sobald ein Angreifer Zugriff auf einen share hat.
ZDI-CAN-33549 betrifft den SMB Direct-Transport und setzt spezifischere Bedingungen voraus. SMB Direct verwendet Remote Direct Memory Access (RDMA), eine Methode, die Daten unter begrenzter Beteiligung des Prozessors direkt zwischen Speicherbereichen überträgt. Für eine Ausnutzung sind eine RDMA-fähige Netzwerkschnittstelle – entweder entsprechende Hardware oder der rxe software driver –, ein beschreibbarer KSMBD share sowie ein Client erforderlich, der SMB Direct aushandelt.
Das zugrunde liegende Problem bei ZDI-CAN-33549 ist ein integer underflow, bei dem eine Größenberechnung unter ihren zulässigen Mindestwert fällt und auf einen unbeabsichtigten Wert umspringt. Ein Client kann RDMA buffer descriptors bereitstellen, deren erster Eintrag länger als der deklarierte Payload ist. Dadurch springt der Größenzähler von KSMBD um, woraufhin eine spätere memory copy über den zugewiesenen Buffer hinausreichen kann. ZDI stufte den daraus entstehenden Zustand als remote code execution ein und vergab einen Wert von 9,0 im Common Vulnerability Scoring System (CVSS).
Zum gemeldeten Zeitpunkt gab es für keines der beiden KSMBD-Probleme eine benannte Korrektur im mainline kernel oder in linux-next, dem integration tree, mit dem Änderungen für mainline vorbereitet werden. Die Linux-Nachrichtenseite Phoronix berichtete, dass ein Maintainer von SMB Direct einen Fix für ZDI-CAN-33549 für den nächsten Entwicklungszyklus des kernel eingereicht habe; diese Angabe war jedoch andernorts nicht bestätigt worden. Selbst nachdem eine Korrektur in mainline aufgenommen wurde, dauert es üblicherweise weitere Wochen, bis die Änderungen die stable kernel branches und die kernel der Linux-Distributionen erreichen.
Keine der beiden Schwachstellen hatte eine Common Vulnerabilities and Exposures (CVE)-Kennung erhalten. Das kernel-Projekt weist CVEs erst zu, nachdem eine Korrektur im stable tree verfügbar ist. Administratoren können mit systemctl status ksmbd prüfen, ob KSMBD läuft, beziehungsweise mit lsmod | grep ksmbd, ob das entsprechende kernel module geladen ist. Laut der Supportdokumentation von Red Hat ist KSMBD standardmäßig nicht in Red Hat Enterprise Linux enthalten.
Die ZDI-Berichte schreiben die Entdeckung der Probleme TrendAI zu, dem Scanner für künstliche Intelligenz von Trend Micro. Die im Mai 2026 aktualisierte Sicherheitsdokumentation des Linux kernel besagt, dass durch AI tools entdeckte Sicherheitslücken definitionsgemäß bereits öffentlich sind und an die mailing lists der zuständigen subsystem developer gesendet werden sollten. ZDI setzte sowohl öffentliche Listen als auch die private Sicherheitsadresse des kernel in Kopie, fügte den Berichten jedoch keine Patches bei.
Ein Maintainer des stable kernel antwortete innerhalb weniger Minuten auf drei der fünf kernel-Berichte und beanstandete, öffentliche Meldungen ohne Patches zu erhalten. In der Antwort zum VMware virtual graphics driver hieß es, die Maintainer könnten mit einem öffentlichen Bericht ohne Korrektur wenig anfangen. Siebzehn Sekunden später wurde ZDI in der Antwort auf den Bericht zum NVMe target erneut aufgefordert, seinen Einreichungsprozess zu ändern.
Drei dieser fünf kernel-Berichte betreffen KSMBD nicht. ZDI-CAN-33367 ist ein mit 7,8 bewertetes local privilege escalation-Problem in der skb_zerocopy-Komponente des networking stack und erfordert lokalen Zugriff. ZDI-CAN-34068 ist eine mit 8,8 bewertete local privilege escalation-Sicherheitslücke im VMware virtual GPU driver vmwgfx. ZDI-CAN-34076 ist ein mit 8,6 bewertetes information disclosure-Problem im NVMe target driver nvmet. Ein sechster Bericht, ZDI-CAN-32005, beschreibt einen buffer overflow in ConnMan, einem vom Linux kernel getrennten Netzwerkdienst.
Für Organisationen, die die Exposition ihrer Linux-Dateifreigaben überprüfen, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen. Bis Fixes für kernel und Distributionen verfügbar sind, sollten Administratoren feststellen, ob KSMBD aktiv ist, den Zugriff auf port 445 beschränken, beschreibbare shares überprüfen und klären, ob SMB Direct und RDMA tatsächlich benötigt werden.