Servidores Linux que executam o KSMBD, servidor SMB integrado ao kernel, estão expostos a duas falhas de execução remota de código divulgadas publicamente. A Zero Day Initiative (ZDI), da Trend Micro, atribuiu nota 9,0 a ambas. Até o momento, não há correções disponíveis na linha principal do kernel.
Uma das falhas, identificada como ZDI-CAN-33774, pode ser acionada pela rede sem autenticação. A outra, ZDI-CAN-33549, depende do transporte SMB Direct e de uma interface de rede compatível com RDMA.
A ZDI-CAN-33549 é uma falha de underflow de inteiro no caminho SMB Direct do KSMBD. Um cliente pode enviar descritores de buffers RDMA em que o primeiro é maior que a carga útil declarada. Isso faz o contador de tamanho do servidor sofrer underflow e permite que uma cópia de memória subsequente ultrapasse o limite da área alocada.
A exploração exige três condições: uma interface compatível com RDMA, seja de hardware ou por meio do driver de software RXE; um compartilhamento KSMBD com permissão de gravação; e um cliente que negocie o SMB Direct.
A ZDI-CAN-33774 não exige autenticação e afeta qualquer servidor que execute o KSMBD na porta 445. A falha decorre de uma condição de corrida na atribuição da tabela de manipuladores do KSMBD. Uma sequência de pacotes SMB1 curtos, seguida por um pacote SMB2 na mesma gravação TCP, faz com que threads de trabalho processem dados SMB1 usando um manipulador SMB2 e leiam além do limite da área menor. Também há um caminho para escrever além dessa área quando o invasor obtém acesso a um compartilhamento.
Até quinta-feira, nenhuma das falhas tinha uma correção identificada na linha principal do kernel ou no linux-next, árvore de integração para o próximo ciclo de desenvolvimento. O site de notícias Linux Phoronix informou que o mantenedor do SMB Direct, Stefan Metzmacher, enviou uma correção para a ZDI-CAN-33549, com o objetivo de incluí-la no próximo ciclo de desenvolvimento do kernel. A informação, porém, não foi confirmada por outras fontes.
Em geral, as correções incorporadas à linha principal levam semanas para chegar aos ramos estáveis e, depois, aos kernels das distribuições. As duas falhas ainda não têm identificadores CVE, pois o projeto do kernel só os atribui após a disponibilização de uma correção em um ramo estável.
Os comandos `systemctl status ksmbd` e `lsmod | grep ksmbd` permitem verificar se o módulo está ativo. De acordo com a documentação de suporte da Red Hat, o Red Hat Enterprise Linux não inclui o KSMBD por padrão.
Os relatórios da ZDI atribuem a descoberta ao TrendAI, ferramenta de varredura com IA da Trend Micro. A documentação de segurança do kernel Linux, atualizada em maio de 2026 após orientações de Linus Torvalds, afirma que falhas encontradas por ferramentas de IA já são, por definição, públicas e devem ser enviadas às listas de desenvolvedores dos subsistemas.
O encaminhamento feito pela ZDI parece ter seguido essa orientação: os relatórios foram enviados a listas públicas de discussão e também ao endereço privado de segurança do kernel, mas não vieram acompanhados de correções.
O mantenedor dos kernels estáveis, Greg Kroah-Hartman, respondeu a três dos cinco relatórios sobre o kernel em poucos minutos. Sobre o relatório referente ao driver de GPU da VMware, escreveu: “Por algum motivo, vocês enviaram isso para listas públicas e não incluíram uma correção, então não há muito que possamos fazer.” Dezessete segundos depois, ao comentar o relatório sobre o driver NVMe, respondeu: “Mais uma vez, sem correção e enviado a uma lista pública? Por favor, corrijam o processo de envio.”
| Identificador ZDI | Subsistema | Tipo de falha | CVSS | Afeta o KSMBD? |
|---|---|---|---:|---|
| ZDI-CAN-33549 | SMB Direct do KSMBD | Execução remota de código | 9,0 | Sim, exige SMB Direct e RDMA |
| ZDI-CAN-33774 | Despacho de protocolo do KSMBD | Execução remota de código | 9,0 | Sim, afeta qualquer instalação do KSMBD |
| ZDI-CAN-33367 | Rede (`skb_zerocopy`) | Elevação local de privilégios | 7,8 | Não |
| ZDI-CAN-34068 | Driver de GPU da VMware (`vmwgfx`) | Elevação local de privilégios | 8,8 | Não |
| ZDI-CAN-34076 | Driver de destino NVMe (`nvmet`) | Divulgação de informações | 8,6 | Não |
Três dos cinco relatórios sobre o kernel não têm relação com SMB. A ZDI-CAN-33367, descoberta pelo pesquisador p1r0x, é uma falha de elevação local de privilégios na pilha de rede do kernel e exige acesso local. A ZDI-CAN-34068 permite elevação local de privilégios no driver de GPU virtual da VMware. Já a ZDI-CAN-34076 causa divulgação de informações no driver de destino NVMe. Nenhuma das duas afeta servidores KSMBD.
Um sexto relatório da ZDI, o ZDI-CAN-32005, descreve um estouro de buffer no ConnMan, um serviço de rede separado do kernel Linux.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...