Zwei kritische Schwachstellen im SMB-Server des Linux-Kernels vor Veröffentlichung von Patches offengelegt

Das Modul KSMBD – der im Linux-Kernel integrierte SMB-Server – weist zwei Schwachstellen zur Remote Code Execution auf, die jeweils die Bewertung CVSS 9.0 von der Trend Micro Zero Day Initiative (ZDI) erhalten haben. Die gefährlichste davon, ZDI-CAN-33774, kann nach derzeitigen Informationen ohne Authentifizierung auf jedem Server mit KSMBD ausgenutzt werden, der auf Port 445 lauscht. Zum Zeitpunkt der öffentlichen Offenlegung lag für keine der Schwachstellen ein bestätigter Patch im Mainline-Kernel vor. Administratoren von Linux-Servern mit aktiviertem KSMBD-Modul sollten den Status umgehend prüfen und ein temporäres Deaktivieren in Betracht ziehen.

Technische Details der Schwachstellen

ZDI-CAN-33774: Race Condition in Handler-Zuordnung ohne Authentifizierung

Nach der Beschreibung in öffentlichen Kernel-Mailinglisten stellt ZDI-CAN-33774 eine Race Condition (Wettlaufsituation) im Mechanismus zur Zuordnung der KSMBD-Handler-Tabelle dar. Eine Serie kurzer SMB1-Pakete, gefolgt von einem SMB2-Paket innerhalb eines einzigen TCP-Records, führt dazu, dass Worker-Threads SMB1-Daten mit dem SMB2-Handler verarbeiten. Dies verursacht Lesezugriffe außerhalb des zugewiesenen Puffers und bei vorhandenem Zugriff auf eine Freigabe – potenziell auch Schreibzugriffe außerhalb dieses Bereichs. Der entscheidende Risikofaktor: Es ist keine Authentifizierung erforderlich – Netzwerkzugriff auf Port 445 genügt.

ZDI-CAN-33549: Integer Underflow in SMB Direct

ZDI-CAN-33549 ist ein Integer-Underflow (Unterlauf) im Verarbeitungsweg von SMB Direct. Ein Angreifer kann RDMA-Pufferdeskriptoren übermitteln, bei denen der erste Deskriptor länger ist als die deklarierte Nutzlast. Dies führt zu einem „Wrap-around“ des Größenzählers und in der Folge zu einem Buffer Overflow beim Kopieren der Daten. Für eine Ausnutzung müssen drei Bedingungen erfüllt sein: ein RDMA-fähiger Netzwerk-Interface (Hardware oder der Software-Treiber rxe), eine beschreibbare KSMBD-Freigabe sowie ein Client, der das Protokoll SMB Direct ausgehandelt hat.

Beide CVSS-9.0-Bewertungen wurden von ZDI vergeben – eine unabhängige Bestätigung dieser Bewertungen über CVE-Einträge liegt bislang nicht vor, da keiner der Schwachstellen eine CVE-ID zugewiesen wurde. Laut der Dokumentation zum CVE-Prozess des Linux-Kernels erfolgt die automatische Vergabe einer CVE-ID nach Einpflegen eines Patches in den Stable-Zweig, wobei ein Antrag auch schon vorher gestellt werden kann. In den verfügbaren Unterlagen werden die betroffenen Kernel-Versionen nicht genannt.

Unterschiedliche Bedrohungsszenarien

Trotz identischer CVSS-Bewertung unterscheiden sich die beiden Schwachstellen erheblich in ihrer Angriffsoberfläche. ZDI-CAN-33774 bedroht jeden Server mit aktivem KSMBD auf Port 445 – ohne Authentifizierung und ohne spezifische Hardware-Anforderungen. ZDI-CAN-33549 setzt dagegen vorhandene RDMA-Infrastruktur voraus, was die praktische Relevanz überwiegend auf Hochleistungsrechenumgebungen und Rechenzentren mit SMB-Direct-Unterstützung beschränkt. Bei der Reaktionsplanung sollte der Priorität eindeutig auf Servern liegen, die ohne zusätzliche Bedingungen per SMB erreichbar sind.

Status der Patches und Reaktion der Hersteller

Mit Stand 22. Oktober 2026 lag für keine der Schwachstellen ein bestätigter Patch im Mainline-Kernel oder im Integrationszweig linux-next vor. Laut einem Bericht von Phoronix hat der Maintainer von SMB Direct, Stefan Metzmacher, einen Patch für ZDI-CAN-33549 vorbereitet, der für den nächsten Kernel-Entwicklungszyklus vorgesehen ist, was jedoch nicht durch andere Quellen bestätigt wird. Selbst nach Aufnahme eines Patches in den Mainline-Zweig vergehen üblicherweise Wochen, bis er die Stable-Zweige und die Kernel der Distributionen erreicht.

Red Hat hat bestätigt, dass seine Produkte nicht betroffen sind: Das KSMBD-Modul ist in keiner Version von Red Hat Enterprise Linux enthalten, und die Kernel-Parameter CONFIG_SMB_SERVER_SMBDIRECT und CONFIG_RDMA_RXE sind standardmäßig deaktiviert. Diese Einschätzung lässt sich jedoch nicht auf andere Linux-Distributionen übertragen – jede davon kann ihre eigene Moduls-Konfiguration haben. Zuvor haben wir bereits über Schwachstellen im Linux-Kernel berichtet, die in den CISA-KEV-Katalog aufgenommen wurden – der Fall KSMBD unterstreicht, dass weiterhin kritische Sicherheitsprobleme in unterschiedlichen Kernel-Subsystemen entdeckt werden.

Öffentliche Offenlegung und prozeduraler Konflikt

Besondere Aufmerksamkeit verdient die Art der Offenlegung. Die ZDI-Berichte wurden gleichzeitig an öffentliche Kernel-Mailinglisten und an die vertrauliche Security-Adresse gesendet – ohne beigefügte Patches. Der Maintainer der Stable-Zweige, Greg Kroah-Hartman, wies in Antworten auf verwandte Berichte (zum VMware-GPU-Treiber und zu NVMe) ausdrücklich auf das Problem hin: „Sie haben dies an öffentliche Listen gesendet und keinen Patch beigefügt, daher können wir nicht viel damit anfangen.“

Diese Art der Weiterleitung basiert offenbar auf der aktualisierten Kernel-Dokumentation zur Behandlung von Sicherheitsfehlern, der zufolge Schwachstellen, die mit KI-basierten Werkzeugen entdeckt wurden, per Definition nicht geheim sind und an öffentliche Mailinglisten der jeweiligen Subsysteme gesendet werden können. ZDI nannte TrendAI – den KI-Scanner von Trend Micro – als Erkennungstool, obwohl im ZDI-Listing beide KSMBD-Schwachstellen dem Forscher Hyeontae Lee zugeschrieben werden. Der Zusammenhang zwischen den allgemeinen Richtlinien zu KI-basierter Erkennung und der konkreten Entscheidung von ZDI zur Weiterleitung dieser Berichte bleibt spekulativ.

Praktische Empfehlungen

• Vorhandensein des Moduls prüfen: Führen Sie systemctl status ksmbd oder lsmod | grep ksmbd aus, um festzustellen, ob das Modul auf Ihren Servern aktiv ist.
• Temporäre Deaktivierung: Wenn KSMBD nicht geschäftskritisch ist, deaktivieren Sie das Modul und blockieren Sie eingehenden Traffic auf Port 445, bis ein offizieller Patch vorliegt.
• Netzwerksegmentierung: Beschränken Sie für Server, auf denen KSMBD benötigt wird, den Zugriff auf Port 445 auf vertrauenswürdige Netzwerksegmente – damit verringern Sie das Risiko der Ausnutzung von ZDI-CAN-33774, die keine Authentifizierung erfordert.
• RDMA-Konfiguration bewerten: Prüfen Sie, ob CONFIG_SMB_SERVER_SMBDIRECT und CONFIG_RDMA_RXE aktiviert sind. Deren Deaktivierung eliminiert den Angriffsvektor für ZDI-CAN-33549.
• Updates überwachen: Verfolgen Sie das Erscheinen von Patches im Mainline-Kernel und in den Stable-Zweigen Ihrer Distribution.

Das Fehlen bestätigter Patches im Mainline-Kernel bei gleichzeitiger öffentlicher Offenlegung technischer Details schafft ein Fenster erhöhten Risikos. Hinweise auf aktive Ausnutzung liegen in den verfügbaren Quellen nicht vor, doch die öffentliche Zugänglichkeit der Angriffsmechanismen macht die Entwicklung von Exploits zu einer Frage der Zeit. Vorrangige Maßnahme ist, den Status des KSMBD-Moduls auf allen Linux-Servern zu prüfen und es dort zu deaktivieren, wo es nicht genutzt wird – ohne den offiziellen Patch abzuwarten.