Hardware Ready Ready to Bench?
Trend Micro hat versehentlich fünf Schwachstellen-Meldungen an die öffentliche Mailing-Liste des Linux-Kernels gesendet. Zwei davon betreffen KSMBD, den in den Kernel integrierten SMB-Server, mit einem CVSS-Score von 9.0 und dem potenziellen Risiko einer Remote Code Execution. Derzeit gibt es weder ein Patch für die Mainline-Version noch eine zugewiesene CVE-Identifikationsnummer.
Die Zero Day Initiative (ZDI) von Trend Micro hatte diese Linux-Kernel-Schwachstellen den Maintavern über die private Sicherheitsliste gemeldet, dabei aber versehentlich auch die öffentlichen Mailing-Listen der betroffenen Subsysteme hinzugefügt. Die am Abend des 21. Oktober gesendeten Berichte wurden dadurch öffentlich zugänglich, bevor Korrekturen im Mainline-Kernel verfügbar waren.
KSMBD Linux Kernel: Warum das wichtig ist
Greg Kroah-Hartman, verantwortlich für die Wartung der stabilen Kernel-Zweige, reagierte innerhalb weniger Minuten auf drei der fünf Berichte und bat um Klarstellung bezüglich des Versands an öffentliche Listen sowie des fehlenden Patches. Bezüglich des VMware-Grafiktreibers erklärte er: „Aus irgendeinem Grund wurde es an öffentliche Listen gesendet und ohne Patch, daher können wir nicht viel tun“. Die Antwort zum NVMe-Treiber war nahezu identisch: „Wieder kein Patch, und an eine öffentliche Liste gesendet? Korrigiert euren Versandprozess“.
ZDI verteidigte das Format ihrer Berichte und erinnerte daran, in den letzten zehn Jahren etwa tausend Fälle mit derselben Struktur behandelt zu haben. Man erklärte, die Kosten für die Entwicklung der Patches nicht tragen zu können, und bekräftigte, dass Details zu Schwachstellen 120 Tage nach Ablehnung durch den Vendor oder fehlender Antwort veröffentlicht werden. ZDI äußerte sich nicht dazu, ob öffentliche Listen in CC gesetzt waren.
ZDI-CAN-33549 ist ein Integer Underflow im SMB Direct-Pfad von KSMBD innerhalb der Funktion smbdirect_connection_rdma_xmit(). Ein bösartiger Client könnte zwei RDMA-Bufferdeskriptoren senden, wobei der erste eine Länge deklariert, die größer als die tatsächliche Nutzlast ist. Der Zähler für die verbleibende Größe wird nach dem Nullsetzen durch einen Clamp-Check weiter dekrementiert und fällt unter null, was zu einem Overflow führt. Dies ermöglicht es dem zweiten Deskriptor, den Clamp-Check zu umgehen, sodass ein späterer Speicher Kopiervorgang über die Grenzen des zugewiesenen Buffers hinaus schreiben kann, mit potenziellem Heap-Overflow von bis zu 8 KB. Die Ausnutzung erfordert eine Netzwerkschnittstelle mit RDMA-Fähigkeiten (Hardware oder Software-Treiber rxe), einen schreibbaren KSMBD-Share und einen Client, der den SMB Direct-Transport verhandelt.
ZDI-CAN-33774 ist hingegen ein Race Condition in der Art, wie KSMBD die Tabelle der Protokoll-Handler zuweist. Eine Sequenz kurzer SMB1-Pakete, gefolgt von einem SMB2-Paket auf derselben TCP-Verbindung, könnte dazu führen, dass SMB1-Daten von einem für SMB2 konzipierten Handler verarbeitet werden, was zu einem Lesen über die Grenzen des kürzeren Buffers hinaus führt. Es gibt auch einen möglichen Zugriffsweg, der das Schreiben über diese Grenze hinaus ermöglicht, nachdem ein Zugriff auf einen Share erhalten wurde. Im Gegensatz zur ersten Schwachstelle erfordert diese keine Authentifizierung: Es genügt, dass der Server KSMBD auf Port 445 aktiviert hat.
Die zusammen mit den Berichten veröffentlichten Proof of Concept demonstrieren eine Speicherleakage aus dem Kernel-Heap und einen Systemabsturz, aber die tatsächliche Ausführung von Code wurde öffentlich nicht nachgewiesen. Derzeit wurden keine Hinweise auf aktive Ausnutzung in der Natur gemeldet.
Keine der beiden Schwachstellen hat derzeit eine Korrektur im Mainline-Kernel oder im linux-next-Zweig erhalten, der die Kernel-Entwicklung antreibt. Bezüglich ZDI-CAN-33774 teilte Namjae Jeon, der Maintainer von KSMBD, mit, dass die Korrektur bereits in seinem Entwicklungszweig mit dem Commit 68f410faedaf vorhanden ist, aber noch nicht in den Mainline integriert wurde. Für ZDI-CAN-33549 gibt es einen Patch vom Maintainer des SMB Direct-Transports Stefan Metzmacher in einem Git-Zweig für Version 7.5, der beschleunigt werden könnte: Der Maintainer glaubt, dass der Patch auch diese Schwachstelle beheben kann, aber dies wurde noch nicht bestätigt.
Auch keine der beiden Schwachstellen hat eine CVE-Identifikationsnummer (Common Vulnerabilities and Exposures) erhalten: Das Kernel-Projekt weist eine CVE erst zu, nachdem eine Korrektur auf einem stabilen Zweig verfügbar ist. Sobald das Patch in den Mainline integriert ist, erfordert die Anwendung auf stabile Zweige und nachfolgende Distributionen typischerweise mehrere Wochen.
ZDI hat das Veröffentlichungsdatum ihrer Advisorys zu diesen fünf Kernel-Berichten auf den 18. Februar 2027 festgelegt, am Ende des 120-Tage-Zeitraums. Linux-Server-Administratoren können prüfen, ob KSMBD aktiv ist, indem sie die Befehle systemctl status ksmbd oder lsmod | grep ksmbd verwenden.
Was sich ändert und welche Auswirkungen es hat
Red Hat Enterprise Linux enthält das KSMBD-Modul nicht, wie in der Red-Hat-Support-Dokumentation angegeben. Ebenso wird es von AlmaLinux und CloudLinux 9 und 10 überhaupt nicht kompiliert. Debian und Ubuntu kompilieren es als Modul, laden es aber nur, wenn der Administrator das Paket ksmbd-tools installiert und den Dienst startet; Ubuntu enthält auch Unterstützung für den SMB Direct-Transport, während dies bei Debian nicht der Fall ist.
Es ist wichtig zu betonen, dass KSMBD nicht mit Samba verwechselt werden darf, dem am weitesten verbreiteten SMB-Server, der im User-Space arbeitet und in diese Schwachstellen nicht involviert ist.
Die Sicherheitsdokumentation des Linux-Kernels, die im Mai 2026 auf Anweisung von Linus Torvalds aktualisiert wurde, legt fest, dass mit KI-basierten Werkzeugen identifizierte Bugs bereits als öffentlich zu betrachten sind und an die zuständigen Subsystem-Listen gesendet werden können. Einige der ZDI-Berichte sind TrendAI zugeordnet, dem KI-basierten Scanner von Trend Micro, während für die beiden KSMBD-Fehler in der Liste der ZDI-Advisorys der Forscher Hyeontae Lee als Entdecker angegeben ist. Erste Rekonstruktionen deuten darauf hin, dass die Veröffentlichung ein Unfall und keine bewusste Anwendung der genannten Richtlinie war.
Von den anderen drei Meldungen betrifft keine KSMBD, aber eine ist wahrscheinlich die relevanteste für die meisten Systeme. ZDI-CAN-33367, eine lokale Privilegieneskalation in der Funktion skb_zerocopy des Netzwerkstapels mit CVSS 7.8, wurde vom Forscher p1r0x entdeckt. Der Fehler umgeht die Korrektur der Dirty-Frag-Schwachstelle (CVE-2026-43284), was bedeutet, dass ein System, das bereits gegen Dirty Frag gepatcht ist, weiterhin exponiert bleibt. Ein Linux-Support-Vendor hat den Bug bis zum Root-Zugriff auf AlmaLinux 8, 9 und 10, Debian 12 und 13 sowie Ubuntu 24.04 und 26.04 reproduziert. Die Kernel-Entwickler hatten bereits in der Woche zuvor eine unabhängige Meldung über dasselbe Problem erhalten, und am 22. Oktober wurde ein zwei Zeilen langer Patch veröffentlicht und revidiert, an die stabilen Zweige kopiert, aber noch nicht integriert. ZDI-CAN-34068 ist ein Out-of-Bounds-Schreiben im virtuellen VMware-Grafiktreiber vmwgfx mit CVSS 8.8; ZDI-CAN-34076 ist eine Informationsleakage im NVMe-Target-Treiber nvmet mit CVSS 8.6. Von beiden sind nur die Titel verfügbar.
Solange KSMBD kein in den Mainline integriertes Patch hat, umfassen konkrete Minderungsmaßnahmen für Betreiber von SMB-Shares auf Linux das Deaktivieren des Moduls, wenn es nicht benötigt wird, die Einschränkung des Zugriffs auf Port 445 auf vertrauenswürdige Netzwerke und das Vermeiden der Aktivierung von SMB Direct auf Systemen, die keine RDMA-Schnittstellen verwenden.
Quelle und weiterführende Informationen zu KSMBD Linux Kernel: Originalartikel.
* Inhalt erstellt mit Unterstützung von KI-Systemen.