Le vulnerabilità KSMBD non hanno fix nel mainline kernel di Linux
Le vulnerabilità KSMBD con punteggio 9.0 potrebbero esporre i server di file Linux a remote code execution (RCE), consentendo potenzialmente a un aggressore di far eseguire al server istruzioni dannose attraverso una rete. La Zero Day Initiative (ZDI) di Trend Micro ha segnalato pubblicamente le due vulnerabilità, identificate come ZDI-CAN-33774 e ZDI-CAN-33549. Al giovedì a cui si riferisce la notizia, nessuna delle due disponeva di un fix identificato nel mainline kernel di Linux o nell'integration tree linux-next.
KSMBD è il server integrato nel Linux kernel per Server Message Block (SMB), un protocollo comunemente usato per condividere file in rete. ZDI-CAN-33774 è la vulnerabilità con l'esposizione più ampia delle due perché può essere attivata prima dell'autenticazione di rete. Secondo il report di ZDI, qualsiasi server che esegua KSMBD sulla porta 445 potrebbe essere interessato, senza che un aggressore debba prima disporre di credenziali di accesso valide.
ZDI-CAN-33774 riguarda una race condition, che si verifica quando alcune operazioni avvengono in un ordine imprevisto perché le loro tempistiche si sovrappongono. KSMBD assegna una tabella che indica ai processi worker come gestire i messaggi di protocollo in entrata. Un client può inserire diversi pacchetti SMB1 brevi e poi un pacchetto SMB2 nella stessa write del Transmission Control Protocol (TCP). Di conseguenza, i worker potrebbero elaborare i dati SMB1 più brevi con un handler SMB2, facendo sì che vengano letti dati oltre la fine del buffer disponibile. ZDI ha inoltre descritto un metodo per scrivere oltre il buffer quando un aggressore ha accesso a una share.
ZDI-CAN-33549 interessa il trasporto SMB Direct e presenta prerequisiti più specifici. SMB Direct usa Remote Direct Memory Access (RDMA), un metodo che trasferisce i dati direttamente tra aree di memoria con un coinvolgimento limitato del processore. Lo sfruttamento richiede un'interfaccia di rete compatibile con RDMA, tramite hardware oppure tramite il driver software rxe, una share KSMBD scrivibile e un client che negozi SMB Direct.
Il problema alla base di ZDI-CAN-33549 è un integer underflow, nel quale il calcolo di una dimensione scende sotto il minimo valido e riparte da un valore non previsto. Un client può fornire descrittori di buffer RDMA la cui prima voce è più lunga del payload dichiarato. Ciò causa il wrap del contatore delle dimensioni di KSMBD, dopodiché una successiva copia in memoria può estendersi oltre il buffer allocato. ZDI ha classificato la condizione risultante come remote code execution e le ha assegnato un punteggio di 9.0 nel Common Vulnerability Scoring System (CVSS).
Al momento descritto nel report, non era disponibile alcun fix identificato per nessuno dei due problemi KSMBD nel mainline kernel o in linux-next, l'integration tree usato per preparare le modifiche destinate al mainline kernel. Il sito di notizie su Linux Phoronix ha riferito che un maintainer di SMB Direct aveva inviato un fix per ZDI-CAN-33549 in vista del successivo ciclo di sviluppo del kernel, anche se tale informazione non era stata confermata altrove. Anche dopo l'integrazione di un fix nel mainline kernel, in genere occorrono altre settimane prima che le modifiche raggiungano i branch stable del kernel e i kernel delle distribuzioni Linux.
Nessuna delle due vulnerabilità aveva ricevuto un identificatore Common Vulnerabilities and Exposures (CVE). Il progetto del kernel assegna i CVE soltanto dopo che un fix è disponibile nello stable tree. Gli amministratori possono verificare se KSMBD è in esecuzione con systemctl status ksmbd oppure se il relativo modulo del kernel è caricato con lsmod | grep ksmbd. La documentazione di supporto di Red Hat afferma che Red Hat Enterprise Linux non include KSMBD per impostazione predefinita.
I report di ZDI attribuiscono la scoperta dei problemi a TrendAI, lo scanner di artificial intelligence di Trend Micro. La documentazione sulla sicurezza del Linux kernel, aggiornata nel maggio 2026, afferma che le vulnerabilità scoperte da strumenti di AI sono già pubbliche per definizione e devono essere inviate alle mailing list degli sviluppatori del subsystem pertinente. ZDI ha incluso tra i destinatari sia le liste pubbliche sia l'indirizzo privato dedicato alla sicurezza del kernel, ma non ha allegato patch ai report.
Un maintainer dello stable kernel ha risposto a tre dei cinque report sul kernel a pochi minuti di distanza l'uno dall'altro e ha contestato l'invio di segnalazioni pubbliche prive di patch. La risposta relativa al driver grafico virtuale VMware affermava che i maintainer potevano fare ben poco con un report pubblico privo di un fix. Diciassette secondi dopo, la risposta al report sul target NVMe ha nuovamente chiesto a ZDI di modificare il proprio processo di invio.
Tre di quei cinque report sul kernel non interessano KSMBD. ZDI-CAN-33367 è un problema di local privilege escalation con punteggio 7.8 nel componente skb_zerocopy del networking stack e richiede accesso locale. ZDI-CAN-34068 è una vulnerabilità di local privilege escalation con punteggio 8.8 nel driver della GPU virtuale VMware, vmwgfx. ZDI-CAN-34076 è un problema di information disclosure con punteggio 8.6 nel driver del target NVMe, nvmet. Un sesto report, ZDI-CAN-32005, descrive un buffer overflow in ConnMan, un servizio di rete distinto dal Linux kernel.
Per le organizzazioni che stanno verificando la propria esposizione legata alla condivisione di file su Linux, AEU-I fornisce servizi IT, infrastrutturali e di consulenza che mettono la sicurezza al primo posto. Fino a quando non saranno disponibili fix per il kernel e le distribuzioni, gli amministratori dovrebbero verificare se KSMBD è attivo, limitare l'accesso alla porta 445, controllare le share scrivibili e stabilire se SMB Direct e RDMA siano effettivamente necessari.