El módulo KSMBD, el servidor SMB integrado en el kernel de Linux, es vulnerable a dos vulnerabilidades de ejecución remota de código, cada una de las cuales ha recibido una puntuación de CVSS 9.0 por parte de Trend Micro Zero Day Initiative (ZDI). La más peligrosa de ellas, ZDI-CAN-33774, según los datos disponibles, puede ser explotada sin autenticación en cualquier servidor con KSMBD que escuche en el puerto 445. En el momento de la divulgación pública, ninguna de las vulnerabilidades disponía de un parche confirmado en la rama principal del kernel. Los administradores de servidores Linux con el módulo KSMBD activo deben comprobar inmediatamente su estado y considerar su desactivación temporal.
Detalles técnicos de las vulnerabilidades
ZDI-CAN-33774: condición de carrera en los manejadores sin autenticación
Según la descripción en las listas de correo públicas del kernel, ZDI-CAN-33774 es una condición de carrera (race condition) en el mecanismo de asignación de la tabla de manejadores de KSMBD. Una serie de paquetes SMB1 cortos, seguida de un paquete SMB2 dentro de un mismo registro TCP, provoca que los hilos de trabajo procesen los datos SMB1 con el manejador de SMB2. Esto desencadena una lectura fuera de los límites del búfer asignado y, si se dispone de acceso a una carpeta compartida, potencialmente también una escritura fuera de sus límites. El factor de riesgo clave es que no se requiere autenticación: basta con tener acceso de red al puerto 445.
ZDI-CAN-33549: desbordamiento entero en SMB Direct
ZDI-CAN-33549 es un desbordamiento entero por abajo (integer underflow) en la ruta de procesamiento de SMB Direct. Un atacante puede enviar descriptores de búferes RDMA en los que el primer descriptor sea más largo que la carga útil declarada. Esto provoca el «desbordamiento» del contador de tamaño y un posterior desbordamiento de búfer al copiar los datos. Para su explotación se requieren tres condiciones: una interfaz de red compatible con RDMA (controlador de hardware o el controlador software rxe), una carpeta compartida de KSMBD con permisos de escritura y un cliente que haya negociado el protocolo SMB Direct.
Ambas puntuaciones CVSS 9.0 han sido asignadas por ZDI; aún no existe una confirmación independiente de estas valoraciones a través de registros CVE, ya que a ninguna de las vulnerabilidades se le ha asignado un identificador CVE. Según la documentación del proceso CVE del kernel de Linux, la asignación automática de un CVE se produce tras la aparición de un parche en la rama estable, aunque también puede solicitarse antes de ese momento. Las versiones del kernel afectadas no se indican en el material disponible.
Diferencias en el nivel de amenaza
A pesar de tener la misma puntuación CVSS, las dos vulnerabilidades difieren considerablemente en su superficie de ataque. ZDI-CAN-33774 supone una amenaza para cualquier servidor con KSMBD activo en el puerto 445, sin necesidad de autenticación ni requisitos específicos de hardware. ZDI-CAN-33549 exige la presencia de una infraestructura RDMA, lo que limita su aplicabilidad principalmente a entornos de computación de alto rendimiento y centros de datos con soporte de SMB Direct. A la hora de planificar la respuesta, debe darse prioridad a los servidores accesibles por SMB sin condiciones adicionales.
Estado de los parches y reacción de los proveedores
Según los datos del 22 de octubre de 2026, ninguna de las vulnerabilidades tenía un parche confirmado en la rama principal del kernel ni en la rama de integración linux-next. Según un informe de Phoronix, el mantenedor de SMB Direct, Stefan Metzmacher, ha preparado un parche para ZDI-CAN-33549 destinado al siguiente ciclo de desarrollo del kernel, aunque esto no ha sido confirmado por otras fuentes. Incluso después de que la corrección llegue a la rama principal, normalmente pasan semanas antes de que alcance las ramas estables y los kernels de los distintos distribuciones.
Red Hat ha confirmado que sus productos no se ven afectados: el módulo KSMBD no está incluido en ninguna versión de Red Hat Enterprise Linux, y los parámetros del kernel CONFIG_SMB_SERVER_SMBDIRECT y CONFIG_RDMA_RXE están desactivados por defecto. Sin embargo, esta conclusión no puede extrapolarse a otras distribuciones de Linux: cada una de ellas puede tener su propia configuración del módulo. Anteriormente ya escribimos sobre vulnerabilidades del kernel de Linux que entraron en el catálogo CISA KEV; la situación con KSMBD subraya que se siguen descubriendo problemas críticos de seguridad del kernel en diversos subsistemas.
Divulgación pública y conflicto de procedimiento
Merece una atención especial la forma en que se produjo la divulgación. Los informes de ZDI se enviaron simultáneamente a las listas de correo públicas del kernel y a la dirección cerrada de seguridad, sin parches adjuntos. El mantenedor de las ramas estables, Greg Kroah-Hartman, en sus respuestas a informes relacionados (sobre el controlador VMware GPU y NVMe) señaló directamente el problema: «Usted envió esto a las listas públicas y no adjuntó un parche, así que hay poco que podamos hacer al respecto».
Esta forma de envío parece basarse en la documentación actualizada del kernel sobre el tratamiento de errores de seguridad, según la cual las vulnerabilidades descubiertas por herramientas basadas en IA no son, por definición, secretas y pueden dirigirse a las listas de correo públicas de las distintas subsistemas. ZDI indicó TrendAI —el escáner de IA de Trend Micro— como herramienta de detección, aunque en el listado de ZDI ambas vulnerabilidades de KSMBD se atribuyen al investigador Hyeontae Lee. La relación entre las directrices generales sobre detección mediante IA y la decisión específica de ZDI respecto a la ruta de envío de estos informes sigue siendo una suposición.
Recomendaciones prácticas
- Compruebe la presencia del módulo: ejecute
systemctl status ksmbdolsmod | grep ksmbdpara determinar si el módulo está activo en sus servidores. - Desactivación temporal: si KSMBD no es estrictamente necesario, desactive el módulo y bloquee el tráfico entrante en el puerto 445 hasta la publicación de un parche oficial.
- Segmentación de red: para los servidores en los que KSMBD sea necesario, limite el acceso al puerto 445 solo a segmentos de red de confianza; esto reduce el riesgo de explotación de ZDI-CAN-33774, que no requiere autenticación.
- Evalúe la configuración RDMA: compruebe si CONFIG_SMB_SERVER_SMBDIRECT y CONFIG_RDMA_RXE están activados. Su desactivación elimina el vector de ataque de ZDI-CAN-33549.
- Supervisión de actualizaciones: siga de cerca la aparición de parches en la rama principal del kernel y en las ramas estables de su distribución.
La ausencia de parches confirmados en la rama principal del kernel en el momento de la divulgación pública de los detalles técnicos crea una ventana de riesgo elevado. No hay información sobre explotación activa en el material disponible, pero la disponibilidad pública de la descripción de los mecanismos de ataque hace que el desarrollo de exploits sea solo cuestión de tiempo. La acción prioritaria es comprobar el estado del módulo KSMBD en todos los servidores Linux y desactivarlo allí donde no se utilice, sin esperar a la publicación de la corrección oficial.
