← Все новости

Безопасность ·

Две критические RCE-уязвимости в KSMBD попали в публичные рассылки Linux до выхода патчейTwo critical KSMBD RCE flaws hit public Linux mailing lists before any patch

Zero Day Initiative отправила отчёты о шести уязвимостях с копией в открытые рассылки — вместе с воспроизводящими примерами. Две из них, в ядерном SMB-сервере KSMBD, оценены в CVSS 9.0 и дают путь к удалённому выполнению кода; исправлений в mainline пока нет.Zero Day Initiative sent reports on six vulnerabilities with public mailing lists in copy, reproducers included. Two of them, in the in-kernel KSMBD SMB server, are rated CVSS 9.0 and offer a path to remote code execution; mainline has no fix yet.

20–21 октября Trend Micro Zero Day Initiative (ZDI) отправила пять отчётов об уязвимостях ядра Linux и один — о ConnMan. Письма ушли на адрес службы безопасности ядра, но в копии стояли публичные рассылки, так что технические описания и воспроизводящие примеры оказались в открытых архивах. 22 октября на это обратили внимание мейнтейнеры и пресса; Грег Кроа-Хартман раскритиковал такой способ раскрытия и отсутствие патчей. CVE пока не присвоены.

Самое опасное — KSMBD

KSMBD — встроенный в ядро SMB-сервер (не путать с Samba). Обе уязвимости оценены в CVSS 9.0:

  • ZDI-CAN-33774 — гонка в диспетчеризации протокола: запрос SMB1 может попасть в обработчик SMB2, что даёт чтение за границами буфера и путь к записи. Условия: KSMBD доступен на порту 445 и есть гостевая шара. Исправления нет.
  • ZDI-CAN-33549 — целочисленное переполнение вниз в SMB Direct, ведущее к записи за границами. Нужны RDMA (или программный драйвер rxe), согласованный SMB Direct и шара с правом записи. Мейнтейнер указал на ветку for-7.5/smbdirect, которая, по его мнению, это исправляет, но в mainline и stable её нет.

Остальные отчёты касаются локального повышения привилегий (skb_zerocopy, vmwgfx, DNS-прокси ConnMan) и утечки данных в NVMe target. Тестировали на Linux 7.3-rc3.

Что делать

  • Проверить, загружен ли модуль: lsmod | grep ksmbd. Если нет — KSMBD-векторы вас не касаются.
  • Если KSMBD не нужен — выгрузить модуль и удалить пакет.
  • Если нужен — отключить гостевой доступ, закрыть порт 445 от недоверенных сетей, выключить SMB Direct/RDMA, где он не используется.
  • Следить за stable-веткой и бэкпортами дистрибутива; до появления CVE ссылаться на идентификаторы ZDI.

Публичные воспроизводящие примеры стоит считать доступными атакующим.

On October 20–21 Trend Micro’s Zero Day Initiative (ZDI) sent five Linux kernel vulnerability reports and one ConnMan report. The emails went to the kernel security address but had public mailing lists in copy, so the technical write-ups and reproducers ended up in public archives. On October 22 maintainers and the press picked it up; Greg Kroah-Hartman criticized the disclosure routing and the lack of patches. No CVEs have been assigned yet.

The dangerous part: KSMBD

KSMBD is the in-kernel SMB server (distinct from Samba). Both flaws are rated CVSS 9.0:

  • ZDI-CAN-33774 — a race in protocol dispatch: an SMB1 request can be handled by an SMB2 handler, causing an out-of-bounds read and a path to a write. Conditions: KSMBD reachable on port 445 with a guest-accessible share. No fix exists.
  • ZDI-CAN-33549 — an integer underflow in SMB Direct leading to an out-of-bounds write. It needs RDMA (or the rxe software driver), negotiated SMB Direct and a writable share. The maintainer pointed to a for-7.5/smbdirect branch he believes fixes it, but it is not in mainline or stable.

The other reports cover local privilege escalation (skb_zerocopy, vmwgfx, the ConnMan DNS proxy) and an information leak in the NVMe target. Testing was done on Linux 7.3-rc3.

What to do

  • Check whether the module is loaded: lsmod | grep ksmbd. If not, the KSMBD vectors do not apply.
  • If you don’t need KSMBD, unload the module and remove the package.
  • If you do, disable guest access, keep port 445 away from untrusted networks, and turn off SMB Direct/RDMA where unused.
  • Track the stable tree and your distro’s backports; until CVEs exist, reference the ZDI IDs.

Treat the public reproducers as available to attackers.

Источники