KSMBD в ядре Linux, по отчётам, допускает удалённое выполнение кода, есть сообщения и о других компонентах

В октябре 2026 года в публичных рассылках появились отчёты о нескольких неустранённых уязвимостях в ядре Linux. Две из них затрагивают KSMBD, необязательный файловый сервер в ядре, который работает по протоколу SMB (протокол доступа к файлам) и отдельно от Samba. Эти уязвимости позволяют удалённому злоумышленнику выполнить код на системе, где включён KSMBD. Системы, где используется только Samba, эти отчёты автоматически не затрагивают.

SMB Direct, KSMBD и четыре других отчёта

Обе уязвимости KSMBD получили 9.0 из 10 по CVSS, шкале оценки уязвимостей. Первый отчёт, ZDI-CAN-33774, описывает состояние гонки при обработке сетевых запросов KSMBD. Под состоянием гонки понимают ситуацию, когда результат зависит от того, какая из одновременных задач выполнится раньше. Обработчик для одного типа запроса сервер может применить к другому. В результате сервер читает короткий запрос SMB1 как заголовок SMB2, и обработчик выходит за границы буфера.

Это даёт чтение памяти ядра и возвращает атакующему часть прочитанных данных в ответе. Также отчёт описывает путь к записи за границы буфера, что может привести к удалённому выполнению кода. Атака идёт по сети, учётные данные не нужны, участие пользователя не требуется. Однако нужны состояние гонки и общая папка с гостевым доступом.

Второй отчёт, ZDI-CAN-33549, касается SMB Direct, режима SMB, который передаёт данные через RDMA (удалённый прямой доступ к памяти). Ошибка в расчёте длины: после вычитания значение длины становится неверным и превращается в очень большое число. Из-за этого следующая операция с памятью выходит за границы буфера; отчёт называет это целочисленным переполнением, ведущим к удалённому выполнению кода. Атака идёт по сети, привилегии не нужны, участие пользователя не требуется. Для срабатывания нужны RDMA-устройство, общая папка с правом записи и включённый SMB Direct; в примере использовали гостевую учётную запись.

На момент публикации исправления в основной ветке и в ветке интеграции не было; CVE (единый идентификатор уязвимости) не присвоен. Для второй уязвимости исправление, по сообщениям, есть в ветке разработки для Linux 7.5. Это не значит, что оно попало в выпущенные ядра или пакеты дистрибутивов. Сопровождающий ядра Linux Greg Kroah-Hartman спросил, почему отчёты вышли без исправлений; остаётся неясным, была ли публикация случайной.

За отчётами стоит Zero Day Initiative (ZDI), программа Trend Micro, которая занимается раскрытием уязвимостей. Обнаружение приписывают ИИ-сканеру Trend Micro, инструменту на основе искусственного интеллекта. Согласно обновлённому руководству по ядру, уязвимости, найденные с помощью ИИ, считаются уже публичными. Поэтому отчёты могли попасть в рассылку без исправления. На 23 октября 2026 года ZDI публично не объяснила, почему отчёты оказались в открытой рассылке.

Смежные отчёты по другим компонентам

Ещё четыре отчёта не связаны с KSMBD напрямую. Один касается сетевого кода ядра и повышения локальных привилегий. По сообщениям, разработчики получили независимый отчёт раньше и готовят исправление. Следующий отчёт описывает запись за границы буфера в графическом драйвере VMware. Она может дать локальному пользователю повышение привилегий.

Третий отчёт описывает неинициализированный ресурс в подсистеме NVMe over Fabrics. Эта подсистема даёт доступ к накопителям по сети; из-за этого возможна утечка информации. Наконец, четвёртый касается переполнения стекового буфера в службе управления сетью ConnMan при обработке запросов поиска домена. ConnMan работает в пользовательском пространстве и не входит в ядро.

Что делать администратору

Сначала проверить, включён ли KSMBD и нужен ли он. Если сервер не используется, отключение убирает доступ к двум уязвимостям удалённого выполнения кода. Если KSMBD нужен, ограничить файловый обмен доверенными сетями, проверить права на общие папки и оценить, включён ли SMB Direct. Следить за рекомендациями производителя дистрибутива: исправление в ветке разработки не означает, что система уже получила обновление. Установка обновления вендора остаётся основной мерой; сетевые ограничения её не заменяют.

Сведений об эксплуатации этих уязвимостей в реальных атаках в отчётах нет. Публикация технических деталей помогает защитникам проверить системы, но до появления исправлений даёт атакующим подсказки. Для администраторов важен не только факт раскрытия, но и отсутствие исправления в основной ветке ядра.

Смежные отчёты по другим компонентам

Что делать администратору

Ссылки