Дві критичні вразливості в SMB-сервері ядра Linux розкрито до виходу патчів

Модуль KSMBD — вбудований SMB-сервер ядра Linux — вразливий до двох вразливостей віддаленого виконання коду, кожна з яких отримала оцінку CVSS 9.0 від Trend Micro Zero Day Initiative (ZDI). Найнебезпечніша з них, ZDI-CAN-33774, за наявними даними, може експлуатуватися без автентифікації на будь-якому сервері з KSMBD, який прослуховує порт 445. На момент публічного розкриття жодна з вразливостей не мала підтвердженого виправлення в основній гілці ядра. Адміністраторам Linux-серверів з активним модулем KSMBD слід негайно перевірити його статус і розглянути тимчасове вимкнення.

Технічні деталі вразливостей

ZDI-CAN-33774: гонка обробників без автентифікації

Згідно з описом у публічних списках розсилки ядра, ZDI-CAN-33774 є станом гонки (race condition) у механізмі призначення таблиці обробників KSMBD. Послідовність коротких пакетів SMB1, за якими в межах одного TCP-запису йде пакет SMB2, призводить до того, що робочі потоки обробляють дані SMB1 обробником SMB2. Це спричиняє читання за межами виділеного буфера, а за наявності доступу до спільної папки — потенційно й запис за його межі. Ключовий фактор ризику: автентифікація не потрібна — достатньо мережевого доступу до порту 445.

ZDI-CAN-33549: цілочисельне переповнення в SMB Direct

ZDI-CAN-33549 — цілочисельне переповнення знизу (integer underflow) у шляху обробки SMB Direct. Зловмисник може передати дескриптори RDMA-буферів, у яких перший дескриптор довший за задеклароване корисне навантаження. Це призводить до «переповнення по колу» лічильника розміру та подальшого переповнення буфера під час копіювання даних. Для експлуатації необхідні три умови: RDMA-сумісний мережевий інтерфейс (апаратний або програмний драйвер rxe), спільна папка KSMBD з правом запису та клієнт, який погодив протокол SMB Direct.

Обидві оцінки CVSS 9.0 присвоєні ZDI — незалежного підтвердження цих оцінок через CVE-записи наразі немає, оскільки жодній з вразливостей не присвоєно ідентифікатор CVE. Відповідно до документації щодо процесу CVE ядра Linux, автоматичне присвоєння CVE відбувається після появи виправлення в стабільній гілці, хоча запит на присвоєння може бути подано й раніше. У доступних матеріалах не вказано, які версії ядра зачеплено.

Відмінності в рівні загрози

Попри однакову оцінку CVSS, дві вразливості істотно різняться за площею атаки. ZDI-CAN-33774 становить загрозу для будь-якого сервера з активним KSMBD на порту 445 — без необхідності автентифікації та без специфічних вимог до обладнання. ZDI-CAN-33549 вимагає наявності RDMA-інфраструктури, що обмежує її застосовність переважно високопродуктивними обчислювальними середовищами та центрами обробки даних із підтримкою SMB Direct. Під час планування реагування пріоритет слід віддати серверам, доступним по SMB без додаткових умов.

Статус виправлень і реакція вендорів

Станом на 22 жовтня 2026 року жодна з вразливостей не мала підтвердженого виправлення ні в основній гілці ядра, ні в інтеграційній гілці linux-next. За повідомленням Phoronix, мейнтейнер SMB Direct Штефан Метцмахер підготував патч для ZDI-CAN-33549, призначений для наступного циклу розробки ядра, однак це не підтверджено іншими джерелами. Навіть після потрапляння виправлення до основної гілки зазвичай минають тижні, перш ніж воно дістанеться стабільних гілок і ядер дистрибутивів.

Red Hat підтвердила, що її продукти не зачеплено: модуль KSMBD не включено до жодного випуску Red Hat Enterprise Linux, а параметри ядра CONFIG_SMB_SERVER_SMBDIRECT і CONFIG_RDMA_RXE вимкнено за замовчуванням. Водночас це рішення не можна поширювати на інші дистрибутиви Linux — кожен із них може мати власну конфігурацію модуля. Раніше ми вже писали про вразливості ядра Linux, що потрапили до каталогу CISA KEV, — ситуація з KSMBD підкреслює, що критичні проблеми безпеки ядра й далі виявляють у різних підсистемах.

Публічне розкриття та процедурний конфлікт

Окремої уваги заслуговує спосіб розкриття. Звіти ZDI були надіслані одночасно до публічних списків розсилки ядра та на закриту адресу безпеки — без доданих патчів. Мейнтейнер стабільних гілок Грег Кроа-Хартман у відповідях на суміжні звіти (про драйвер VMware GPU і NVMe) прямо вказав на проблему: «Ви надіслали це до публічних списків і не додали патч, тож ми мало що можемо з цим зробити».

Такий спосіб маршрутизації, ймовірно, ґрунтується на оновленій документації ядра щодо обробки помилок безпеки, згідно з якою вразливості, виявлені інструментами на базі ШІ, за визначенням не є секретними та можуть надсилатися до публічних списків розсилки підсистем. ZDI зазначила TrendAI — ШІ-сканер Trend Micro — як інструмент виявлення, хоча в переліку ZDI обидві вразливості KSMBD приписано досліднику Hyeontae Lee. Зв’язок між загальними настановами щодо ШІ-обнаруження та конкретним рішенням ZDI про маршрутизацію цих звітів лишається припущенням.

Практичні рекомендації

• Перевірте наявність модуля: виконайте systemctl status ksmbd або lsmod | grep ksmbd, щоб визначити, чи активний модуль на ваших серверах.
• Тимчасове вимкнення: якщо KSMBD не є критично необхідним, вимкніть модуль і заблокуйте вхідний трафік на порт 445 до виходу офіційного патча.
• Мережева сегментація: для серверів, де KSMBD потрібен, обмежте доступ до порту 445 лише довіреними мережевими сегментами — це зменшує ризик експлуатації ZDI-CAN-33774, яка не потребує автентифікації.
• Оцініть RDMA-конфігурацію: перевірте, чи увімкнено CONFIG_SMB_SERVER_SMBDIRECT і CONFIG_RDMA_RXE. Їх вимкнення усуває вектор атаки ZDI-CAN-33549.
• Моніторинг оновлень: відстежуйте появу патчів в основній гілці ядра та стабільних гілках вашого дистрибутиву.

Відсутність підтверджених патчів в основній гілці ядра під час публічного розкриття технічних деталей створює вікно підвищеного ризику. Відомостей про активну експлуатацію в наявних матеріалах немає, однак публічна доступність опису механізмів атаки робить розробку експлойтів питанням часу. Пріоритетна дія — перевірити статус модуля KSMBD на всіх Linux-серверах і вимкнути його там, де він не використовується, не чекаючи виходу офіційного виправлення.