Due gravi falle di sicurezza nel modulo KSMBD di Linux, che gestisce il protocollo SMB, permettono l'esecuzione di codice remoto con punteggi CVSS di 9.0. Al momento non sono disponibili patch definitive.
Il modulo KSMBD, integrato nel kernel Linux per fornire funzionalità di server SMB (Server Message Block), è stato recentemente interessato da due vulnerabilità critiche che consentono l'esecuzione di codice da remoto (RCE). Queste falle, scoperte e segnalate dalla Zero Day Initiative (ZDI) di Trend Micro, sono state valutate con un punteggio di gravità CVSS 9.0, indicando un rischio elevato per i sistemi interessati. La preoccupazione maggiore risiede nel fatto che, al momento della segnalazione, non erano ancora state rilasciate correzioni definitive nel kernel principale.
Le due vulnerabilità, identificate come ZDI-CAN-33774 e ZDI-CAN-33549, presentano caratteristiche e requisiti d'attacco distinti:
ZDI-CAN-33774: Questa falla è particolarmente insidiosa poiché può essere sfruttata senza richiedere alcuna autenticazione preliminare. Qualsiasi server Linux che esegue KSMBD sulla porta standard 445 è potenzialmente esposto. L'attacco sfrutta una condizione di competizione (race condition) nella gestione delle tabelle degli handler del KSMBD. L'invio rapido di pacchetti SMB1 seguiti da un pacchetto SMB2 all'interno della stessa connessione TCP può indurre il server a processare dati SMB1 utilizzando handler SMB2, portando a una lettura di memoria oltre i limiti del buffer previsto. Esiste anche la possibilità di scrivere oltre il buffer una volta ottenuto l'accesso a una condivisione.
ZDI-CAN-33549: Questa vulnerabilità richiede condizioni più specifiche per essere sfruttata. Richiede l'utilizzo del trasporto SMB Direct e una scheda di rete con capacità RDMA (Remote Direct Memory Access), che può essere hardware o abilitata tramite il driver software rxe. L'attacco si basa su un errore di tipo 'integer underflow' nel percorso SMB Direct di KSMBD. Un client malevolo può fornire descrittori di buffer RDMA in cui la lunghezza dichiarata del primo buffer è superiore alla dimensione effettiva del payload. Questo causa un 'wrap-around' nel contatore delle dimensioni del server, permettendo a una successiva operazione di copia della memoria di eccedere i limiti di un buffer allocato, portando a un buffer overflow.
Per sfruttare ZDI-CAN-33549, sono necessari tre elementi: una interfaccia di rete RDMA, una condivisione KSMBD scrivibile e che il client negozii SMB Direct.
Al momento della segnalazione, né la vulnerabilità ZDI-CAN-33774 né la ZDI-CAN-33549 avevano ricevuto un identificatore CVE ufficiale, poiché il progetto del kernel Linux assegna questi codici solo dopo che una correzione è stata integrata nel ramo stabile. Il sito Phoronix ha riportato che il manutentore di SMB Direct, Stefan Metzmacher, avrebbe inviato una proposta di correzione per ZDI-CAN-33549 destinata al prossimo ciclo di sviluppo del kernel, ma questa informazione non è stata confermata ufficialmente da altre fonti. L'integrazione di patch nel kernel principale e la loro successiva distribuzione attraverso le varie distribuzioni Linux richiedono solitamente diverse settimane.
È possibile verificare se il modulo KSMBD è attivo su un sistema eseguendo i comandi systemctl status ksmbd o lsmod | grep ksmbd. È importante notare che distribuzioni come Red Hat Enterprise Linux non includono KSMBD di default, secondo la documentazione ufficiale di Red Hat.
Le vulnerabilità sono state scoperte da Trend Micro's AI scanner, TrendAI. La documentazione sulla sicurezza del kernel Linux, aggiornata nel maggio 2026, indica che i bug scoperti da strumenti AI dovrebbero essere inviati direttamente agli sviluppatori dei sottosistemi interessati. Il processo seguito da ZDI sembra aver rispettato questa linea guida, copiando le mailing list pubbliche insieme all'indirizzo privato di sicurezza del kernel, ma senza allegare patch alle segnalazioni iniziali.
Greg Kroah-Hartman, manutentore del kernel stabile, ha espresso perplessità riguardo al metodo di segnalazione, rispondendo a diversi report (inclusi quelli non correlati a KSMBD, come una escalation di privilegi locale nello stack di rete, una vulnerabilità nel driver GPU VMware e una disclosure di informazioni nel driver NVMe target) con commenti simili: "Per qualche motivo hai inviato questo alle liste pubbliche, e non hai incluso una patch, quindi non c'è molto che possiamo fare con questo." e "Ancora, nessuna patch, e inviato a una lista pubblica? Si prega di correggere il tuo processo di sottomissione."
È importante sottolineare che tre delle cinque segnalazioni ZDI non riguardavano KSMBD. Altre vulnerabilità scoperte da ZDI includono una escalation di privilegi locale nel driver di rete (ZDI-CAN-33367), una escalation di privilegi locale nel driver GPU virtuale VMware (ZDI-CAN-34068), una disclosure di informazioni nel driver NVMe target (ZDI-CAN-34076) e un buffer overflow nel demone di rete ConnMan (ZDI-CAN-32005), che è un componente separato dal kernel Linux.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
