Kernel Linux: vulnerabilità KSMBD pubblicate senza patch

Trend Micro ha inavvertitamente inviato alla mailing list pubblica del kernel Linux cinque segnalazioni di vulnerabilità. Due di queste riguardano KSMBD, il server SMB integrato nel kernel, con un punteggio CVSS di 9.0 e potenziale rischio di esecuzione di codice da remoto, attualmente prive di patch nella versione mainline né di un identificativo CVE assegnato.

La Zero Day Initiative (ZDI) di Trend Micro ha segnalato queste vulnerabilità del kernel Linux ai manutentori tramite la lista di sicurezza privata, includendo però erroneamente anche le mailing list pubbliche dei sottosistemi interessati. I report, inviati nella serata del 21 ottobre, sono diventati quindi accessibili pubblicamente prima che fossero disponibili correzioni nel kernel mainline.

KSMBD: perché è importante

Greg Kroah-Hartman, responsabile della manutenzione dei rami stabili del kernel, ha risposto a tre dei cinque report entro pochi minuti, chiedendo chiarimenti sull’invio alle liste pubbliche e sulla mancanza di patch allegata. In merito al driver grafico di VMware ha dichiarato: “Per qualche motivo è stato inviato alle liste pubbliche e senza patch, quindi non possiamo fare molto”. La risposta relativa al driver NVMe è stata quasi identica: “Di nuovo nessuna patch, e inviata a una lista pubblica? Correggete il vostro processo di invio”.

ZDI ha difeso il formato dei propri report, ricordando di aver gestito circa mille casi in dieci anni con la stessa impostazione. Ha spiegato di non poter sostenere i costi necessari per lo sviluppo delle patch e ha ribadito che pubblica i dettagli delle vulnerabilità dopo 120 giorni dal rifiuto del vendor o dalla mancata risposta. ZDI non ha fornito commenti sulla presenza delle liste pubbliche in copia.

ZDI-CAN-33549 è un integer underflow presente nel percorso SMB Direct di KSMBD, all’interno della funzione smbdirect_connection_rdma_xmit(). Un client malintenzionato potrebbe inviare due descrittori di buffer RDMA in cui il primo dichiara una lunghezza superiore al payload effettivo. Il contatore della dimensione residua, dopo essere stato azzerato da un controllo di clamp, viene decrementato ulteriormente scendendo sotto zero e causando un overflow. Questo permette al secondo descrittore di bypassare il controllo di clamp, consentendo a una successiva operazione di copia di memoria di scrivere oltre i limiti del buffer allocato, con un potenziale overflow dello heap fino a 8 KB. Lo sfruttamento richiede un’interfaccia di rete dotata di capacità RDMA (hardware o driver software rxe), una condivisione KSMBD scrivibile e un client che negozia il trasporto SMB Direct.

ZDI-CAN-33774 è invece una race condition nel modo in cui KSMBD assegna la tabella dei gestori di protocollo. Una sequenza di pacchetti SMB1 brevi, seguita da un pacchetto SMB2 sulla stessa connessione TCP, potrebbe portare all’elaborazione dei dati SMB1 da parte di un gestore progettato per SMB2, con conseguente lettura oltre i limiti del buffer più corto. Esiste anche una possibile via d’accesso che consente la scrittura oltre tale limite dopo aver ottenuto l’accesso a una condivisione. A differenza della prima vulnerabilità, questa non richiede autenticazione: è sufficiente che il server abbia KSMBD attivo sulla porta 445.

I proof of concept pubblicati insieme ai report dimostrano una fuga di memoria dallo heap del kernel e il crash del sistema, ma l’esecuzione effettiva di codice non è stata dimostrata pubblicamente. Al momento non sono state segnalate evidenze di sfruttamento attivo in natura.

Nessuna delle due vulnerabilità ha al momento ricevuto una correzione nel kernel mainline o nel ramo linux-next, che alimenta lo sviluppo del kernel. Per quanto riguarda ZDI-CAN-33774, Namjae Jeon, il manutentore di KSMBD, ha comunicato che la correzione è già presente nel suo albero di sviluppo con il commit 68f410faedaf, ma non è ancora stata integrata nella mainline. Per ZDI-CAN-33549 esiste una patch del manutentore del trasporto SMB Direct Stefan Metzmacher in un ramo Git destinato alla versione 7.5, che potrebbe essere accelerata: il manutentore ritiene che la patch possa risolvere anche questa vulnerabilità, ma ciò non è ancora stato confermato.

Nessuna delle due vulnerabilità ha inoltre ricevuto un identificativo CVE (Common Vulnerabilities and Exposures): il progetto kernel assegna un CVE solo dopo che una correzione è disponibile su un ramo stabile. Una volta che la patch viene integrata nella mainline, l’applicazione ai rami stabili e alle successive distribuzioni richiede tipicamente diverse settimane.

ZDI ha fissato la data di pubblicazione dei propri advisory relativi a questi cinque report kernel al 18 febbraio 2027, al termine del periodo di 120 giorni. Gli amministratori di server Linux possono verificare se KSMBD è attivo utilizzando i comandi systemctl status ksmbd oppure lsmod | grep ksmbd.

Cosa cambia e quali sono gli effetti

Red Hat Enterprise Linux non include il modulo KSMBD, come indicato nella documentazione di supporto di Red Hat. Allo stesso modo, AlmaLinux e CloudLinux 9 e 10 non lo compilano affatto. Debian e Ubuntu lo compilano come modulo, ma lo caricano solo se l’amministratore installa il pacchetto ksmbd-tools e avvia il servizio; Ubuntu include anche il supporto per il trasporto SMB Direct, mentre Debian no.

È importante sottolineare che KSMBD non va confuso con Samba, il server SMB più diffuso, che opera nello spazio utente e non è coinvolto in queste vulnerabilità.

La documentazione di sicurezza del kernel Linux, aggiornata nel maggio 2026 su indicazione di Linus Torvalds, stabilisce che i bug individuati con strumenti basati sull’intelligenza artificiale vanno considerati già pubblici e possono essere inviati alle liste dei sottosistemi competenti. Alcuni dei report ZDI risultano associati a TrendAI, lo scanner basato su intelligenza artificiale di Trend Micro, mentre per i due difetti di KSMBD l’elenco degli advisory ZDI indica come scopritore il ricercatore Hyeontae Lee. Le prime ricostruzioni suggeriscono che la pubblicazione sia stata un incidente e non un’applicazione deliberata della suddetta policy.

Delle altre tre segnalazioni, nessuna riguarda KSMBD, ma una è probabilmente la più rilevante per la maggior parte dei sistemi. ZDI-CAN-33367, un’escalation di privilegi locale nella funzione skb_zerocopy dello stack di rete con CVSS 7.8, è stata scoperta dal ricercatore p1r0x. Il difetto aggira la correzione della vulnerabilità Dirty Frag (CVE-2026-43284), il che significa che un sistema già aggiornato contro Dirty Frag resta comunque esposto. Un vendor di supporto Linux ha riprodotto il bug fino all’accesso root su AlmaLinux 8, 9 e 10, Debian 12 e 13 e Ubuntu 24.04 e 26.04. Gli sviluppatori del kernel avevano già ricevuto una segnalazione indipendente sullo stesso problema la settimana precedente, e il 22 ottobre è stata pubblicata e revisionata una patch di due righe, in copia ai rami stabili ma non ancora integrata. ZDI-CAN-34068 è una scrittura fuori dai limiti nel driver grafico virtuale di VMware, vmwgfx, con CVSS 8.8; ZDI-CAN-34076 è un’esposizione di informazioni nel driver del target NVMe, nvmet, con CVSS 8.6. Di entrambe sono disponibili solo i titoli.

Finché KSMBD non avrà una patch integrata nella mainline, le misure di mitigazione concrete per chi gestisce condivisioni SMB su Linux includono la disattivazione del modulo quando non necessario, la limitazione dell’accesso alla porta 445 alle reti fidate ed evitare l’abilitazione di SMB Direct sui sistemi che non utilizzano interfacce RDMA.

Fonte e approfondimento su KSMBD: articolo originale.

* Contenuto realizzato con l'ausilio di sistemi di intelligenza artificiale.