Модуль KSMBD — встроенный SMB-сервер ядра Linux — подвержен двум уязвимостям удалённого выполнения кода, каждая из которых получила оценку CVSS 9.0 от Trend Micro Zero Day Initiative (ZDI). Наиболее опасная из них, ZDI-CAN-33774, по имеющимся данным, может быть эксплуатирована без аутентификации на любом сервере с KSMBD, слушающим порт 445. На момент публичного раскрытия ни одна из уязвимостей не имела подтверждённого исправления в основной ветке ядра. Администраторам Linux-серверов с активным модулем KSMBD следует немедленно проверить его статус и рассмотреть временное отключение.
Технические детали уязвимостей
ZDI-CAN-33774: гонка обработчиков без аутентификации
По описанию из публичных рассылок ядра, ZDI-CAN-33774 представляет собой состояние гонки (race condition) в механизме назначения таблицы обработчиков KSMBD. Серия коротких пакетов SMB1, за которой следует пакет SMB2 в рамках одной TCP-записи, приводит к тому, что рабочие потоки обрабатывают данные SMB1 обработчиком SMB2. Это вызывает чтение за пределами выделенного буфера, а при наличии доступа к общей папке — потенциально и запись за его границы. Ключевой фактор риска: аутентификация не требуется — достаточно сетевого доступа к порту 445.
ZDI-CAN-33549: целочисленное переполнение в SMB Direct
ZDI-CAN-33549 — целочисленное переполнение снизу (integer underflow) в пути обработки SMB Direct. Атакующий может передать дескрипторы RDMA-буферов, в которых первый дескриптор длиннее заявленной полезной нагрузки. Это приводит к «обёртыванию» счётчика размера и последующему переполнению буфера при копировании данных. Для эксплуатации необходимы три условия: RDMA-совместимый сетевой интерфейс (аппаратный или программный драйвер rxe), доступная на запись общая папка KSMBD и клиент, согласовавший протокол SMB Direct.
Обе оценки CVSS 9.0 присвоены ZDI — независимого подтверждения этих оценок через CVE-записи пока нет, поскольку ни одной из уязвимостей не присвоен идентификатор CVE. Согласно документации процесса CVE ядра Linux, автоматическое присвоение CVE происходит после появления исправления в стабильной ветке, хотя запрос на присвоение может быть подан и до этого момента. Затронутые версии ядра в доступных материалах не указаны.
Различия в уровне угрозы
Несмотря на одинаковую оценку CVSS, две уязвимости существенно различаются по поверхности атаки. ZDI-CAN-33774 угрожает любому серверу с активным KSMBD на порту 445 — без необходимости аутентификации и без специфических требований к оборудованию. ZDI-CAN-33549 требует наличия RDMA-инфраструктуры, что ограничивает её применимость преимущественно высокопроизводительными вычислительными средами и центрами обработки данных с поддержкой SMB Direct. При планировании реагирования приоритет следует отдать серверам, доступным по SMB без дополнительных условий.
Статус исправлений и реакция вендоров
По данным на 22 октября 2026 года, ни одна из уязвимостей не имела подтверждённого исправления в основной ветке ядра или в интеграционной ветке linux-next. По сообщению Phoronix, мейнтейнер SMB Direct Штефан Метцмахер подготовил патч для ZDI-CAN-33549, предназначенный для следующего цикла разработки ядра, однако это не подтверждено другими источниками. Даже после попадания исправления в основную ветку обычно проходят недели, прежде чем оно достигает стабильных веток и ядер дистрибутивов.
Red Hat подтвердила, что её продукты не затронуты: модуль KSMBD не включён ни в один выпуск Red Hat Enterprise Linux, а параметры ядра CONFIG_SMB_SERVER_SMBDIRECT и CONFIG_RDMA_RXE отключены по умолчанию. Однако это заключение нельзя распространять на другие дистрибутивы Linux — каждый из них может иметь собственную конфигурацию модуля. Ранее мы уже писали об уязвимостях ядра Linux, попавших в каталог CISA KEV, — ситуация с KSMBD подчёркивает, что критические проблемы безопасности ядра продолжают обнаруживаться в различных подсистемах.
Публичное раскрытие и процедурный конфликт
Отдельного внимания заслуживает способ раскрытия. Отчёты ZDI были направлены одновременно на публичные рассылки ядра и на закрытый адрес безопасности — без приложенных патчей. Мейнтейнер стабильных веток Грег Кроа-Хартман в ответах на смежные отчёты (о драйвере VMware GPU и NVMe) прямо указал на проблему: «Вы отправили это на публичные списки и не приложили патч, поэтому мы мало что можем с этим сделать».
Такая маршрутизация, по-видимому, основана на обновлённой документации ядра по обработке ошибок безопасности, согласно которой уязвимости, обнаруженные инструментами на базе ИИ, по определению не являются секретными и могут направляться в публичные рассылки подсистем. ZDI указала TrendAI — ИИ-сканер Trend Micro — в качестве инструмента обнаружения, хотя в листинге ZDI обе уязвимости KSMBD приписаны исследователю Hyeontae Lee. Связь между общим руководством по ИИ-обнаружению и конкретным решением ZDI о маршрутизации этих отчётов остаётся предположительной.
Практические рекомендации
- Проверьте наличие модуля: выполните
systemctl status ksmbdилиlsmod | grep ksmbdдля определения, активен ли модуль на ваших серверах. - Временное отключение: если KSMBD не является критически необходимым, отключите модуль и заблокируйте входящий трафик на порт 445 до выхода официального патча.
- Сетевая сегментация: для серверов, где KSMBD необходим, ограничьте доступ к порту 445 только доверенными сетевыми сегментами — это снижает риск эксплуатации ZDI-CAN-33774, не требующей аутентификации.
- Оцените RDMA-конфигурацию: проверьте, включены ли CONFIG_SMB_SERVER_SMBDIRECT и CONFIG_RDMA_RXE. Их отключение устраняет вектор атаки ZDI-CAN-33549.
- Мониторинг обновлений: отслеживайте появление патчей в основной ветке ядра и стабильных ветках вашего дистрибутива.
Отсутствие подтверждённых патчей в основной ветке ядра при публичном раскрытии технических деталей создаёт окно повышенного риска. Сведений об активной эксплуатации в доступных материалах нет, однако публичная доступность описания механизмов атаки делает разработку эксплойтов вопросом времени. Приоритетное действие — проверить статус модуля KSMBD на всех Linux-серверах и отключить его там, где он не используется, не дожидаясь выхода официального исправления.
