Twee CVSS 9.0 RCE-kwetsbaarheden in Linux KSMBD op openbare mailinglijsten onthuld vóór kernelpatches

Vulnerability / Linux

Linux-servers waarop KSMBD draait, de in-kernel SMB-server, zijn blootgesteld aan twee openbaar gerapporteerde remote code execution-kwetsbaarheden met een score van 9,0 volgens Trend Micro’s Zero Day Initiative (ZDI). Er is nog geen oplossing beschikbaar in de mainline-kernel.

De ene kwetsbaarheid, ZDI-CAN-33774, kan worden getriggerd voordat enige netwerkauthenticatie plaatsvindt. De andere, ZDI-CAN-33549, vereist het SMB Direct-transport en een RDMA-capabele netwerkinterface.

ZDI-CAN-33549 is een integer underflow in KSMBD’s SMB Direct-pad. Een client kan RDMA-bufferdescriptors aanleveren waarbij de eerste descriptor langer is dan de opgegeven payload, waardoor de server’s grootte-teller rondloopt en een daaropvolgende geheugen-copy over het einde van een gealloceerde buffer kan schrijven.

Daarvoor zijn drie dingen vereist: een RDMA-geschikte interface (hardware of de rxe-softwaredriver), een schrijfbare KSMBD-share en een client die SMB Direct onderhandelt.

ZDI-CAN-33774 vereist geen authenticatie en maakt iedere server met KSMBD op poort 445 kwetsbaar. De fout zit in een race bij de toewijzing van de handler-tabel van KSMBD: een reeks korte SMB1-pakketten gevolgd door een SMB2-pakket in dezelfde TCP-write zorgt ervoor dat workers SMB1-gegevens met een SMB2-handler behandelen, waardoor er voorbij het einde van de kortere buffer wordt gelezen. Zodra een aanvaller toegang heeft tot een share bestaat er ook een pad om voorbij het einde van de buffer te schrijven.

Tot donderdag had geen van beide fouten een benoemde fix in de mainline-kernel of in linux-next, de integratietree die daarop vooruit werkt. Linux-nieuwssite Phoronix meldde dat SMB Direct-maintainer Stefan Metzmacher een fix voor ZDI-CAN-33549 heeft ingediend, gericht op de volgende kernel-ontwikkelingscyclus, maar dat is elders niet bevestigd.

Fixes voor mainline bereiken doorgaans pas na enkele weken de stable-branches en daarna de distributiekernels. Geen van beide fouten heeft een CVE-nummer, omdat het kernelproject die pas toewijst nadat er een fix in de stable-tree beschikbaar is.

Met de commando’s systemctl status ksmbd of lsmod | grep ksmbd kunt u controleren of de module actief is. Red Hat Enterprise Linux bevat KSMBD volgens Red Hat’s supportdocumentatie niet standaard.

De ZDI-rapporten schrijven TrendAI, Trend Micro’s AI-scanner, als ontdekker toe. De securitydocumentatie van de Linux-kernel, bijgewerkt in mei 2026 naar aanleiding van aanwijzingen van Linus Torvalds, stelt dat bugs gevonden door AI-tools per definitie al publiek zijn en naar de subsysteem-ontwikkelaarslijsten moeten worden gestuurd.

ZDI’s routing leek die logica te volgen: publieke mailinglijsten werden gekopieerd naast het privé-kernelsecurityadres, zonder patches aan enige rapporten toe te voegen.

Stable-kernelonderhouder Greg Kroah-Hartman reageerde binnen enkele minuten op drie van de vijf kernelrapporten. Over het rapport over de VMware GPU-driver schreef hij: “Om een of andere reden stuurde u dit naar publieke lijsten en voegde u geen patch toe, dus er is niet veel wat we hiermee kunnen doen.” Zeventien seconden later, over het NVMe-driverrapport: “Weer geen patch, en naar een openbare lijst gestuurd? Verbeter alstublieft uw indieningsproces.”

Drie van de vijf kernelrapporten hebben geen betrekking op SMB. ZDI-CAN-33367, ontdekt door onderzoeker p1r0x, is een lokale privilege-escalatie in de kernel-netwerkstack en vereist lokale toegang. ZDI-CAN-34068 is een lokale privilege-escalatie in de VMware virtuele GPU-driver, ZDI-CAN-34076 is een informatielek in de NVMe-targetdriver en geen van deze treft KSMBD-servers.

Een zesde ZDI-rapport, ZDI-CAN-32005, beschrijft een buffer overflow in ConnMan, een netwerkdaemon die losstaat van de Linux-kernel.