Über den SMB-Server im Linux-Kernel lässt sich Code ausführen, in einem Fall ohne Anmeldung. TrendAI meldete die Lücken direkt an öffentliche Listen.
Gefunden von KI
Linux: Zwei kritische Lücken ohne Kernel-Patch
Bildquelle: Stanislaw Mikulski / Shutterstock.com
Linux-Server, die den im Kernel integrierten SMB-Server KSMBD nutzen, sind von zwei kritischen Sicherheitslücken betroffen, über die sich aus der Ferne Code ausführen lässt. Die Zero Day Initiative (ZDI) von Trend Micro bewertet beide mit einem CVSS-Wert von 9,0. Stand 22. Oktober gibt es für keine der beiden Lücken eine Korrektur im Hauptzweig des Kernels oder im Integrationszweig linux-next. CVE-Kennungen fehlen ebenfalls, da das Kernel-Projekt diese erst vergibt, wenn ein Fix in einem stabilen Zweig vorliegt.
Eine Lücke ohne Authentifizierung
Die Lücke ZDI-CAN-33774 lässt sich ohne Anmeldung ausnutzen und betrifft jeden Server, auf dem KSMBD über Port 445 erreichbar ist. Ursache ist eine Race Condition bei der Zuordnung der Handler-Tabelle. Schickt ein Angreifer mehrere kurze SMB1-Pakete und direkt danach ein SMB2-Paket in derselben TCP-Übertragung, verarbeitet der Server SMB1-Daten mit einem SMB2-Handler und liest über das Ende eines Puffers hinaus. Mit Zugriff auf eine Freigabe ist auch ein Schreiben über den Puffer hinaus möglich.
Die zweite Lücke, ZDI-CAN-33549, ist ein Integer-Unterlauf im Transportweg SMB Direct. Sie setzt eine RDMA-fähige Netzwerkkarte oder den Softwaretreiber rxe, eine beschreibbare Freigabe und einen Client voraus, der SMB Direct aushandelt. Laut Phoronix hat Maintainer Stefan Metzmacher dafür eine Korrektur für den nächsten Entwicklungszyklus eingereicht.
Gefunden von KI, gemeldet an öffentliche Listen
Gefunden hat die Lücken laut ZDI der KI-Scanner TrendAI von Trend Micro. Die ZDI schickte die Meldungen nicht nur an die vertrauliche Sicherheitsadresse des Kernels, sondern auch an öffentliche Mailinglisten, und zwar ohne Patches. Das entspricht den im Mai 2026 überarbeiteten Sicherheitsrichtlinien des Kernels. Danach gelten von KI-Werkzeugen gefundene Fehler als bereits öffentlich und sollen an die Listen der jeweiligen Entwickler gehen.
Kernel-Maintainer Greg Kroah-Hartman reagierte auf drei der insgesamt fünf Kernel-Meldungen innerhalb weniger Minuten. „Aus irgendeinem Grund haben Sie das an öffentliche Listen geschickt und keinen Patch beigefügt, also können wir damit nicht viel anfangen”, schrieb er zu einer Meldung über den GPU-Treiber für VMware. Die übrigen drei Meldungen betreffen nicht KSMBD, sondern eine lokale Rechteausweitung im Netzwerkstack, eine im VMware-GPU-Treiber vmwgfx und eine Informationspreisgabe im NVMe-Target-Treiber.
Prüfen, ob KSMBD aktiv ist
Ob KSMBD auf einem System läuft, lässt sich mit den Befehlen systemctl status ksmbd oder lsmod | grep ksmbd prüfen. Red Hat Enterprise Linux liefert KSMBD laut Red Hat standardmäßig nicht aus. Bis Korrekturen verfügbar sind, sollten Administratoren prüfen, ob sie den Dienst benötigen, und den Zugriff auf Port 445 beschränken. Korrekturen im Hauptzweig erreichen stabile Zweige und Distributionskernel in der Regel erst Wochen später.
(red)
