Twee kritieke kwetsbaarheden in KSMBD, de ingebouwde SMB-server van de Linux-kernel, zijn via publieke mailinglijsten bekendgemaakt terwijl er nog geen officiële kernelpatch beschikbaar is. Trend Micro’s Zero Day Initiative (ZDI) registreerde de twee lekken als ZDI-CAN-33549 en ZDI-CAN-33774, beide met een CVSS-score van 9,0. Een CVE-nummer hebben ze nog niet: het kernelproject kent pas een CVE-nummer toe zodra er een fix in de stable-tree staat.
ZDI-CAN-33549 zit in het SMB Direct-pad van KSMBD en is een integer underflow. Een client stuurt RDMA-buffer-descriptors waarvan de eerste langer is dan de opgegeven payload, waardoor de grootteteller van de server overloopt en een latere geheugenkopie buiten een toegewezen buffer kan schrijven. Voor misbruik is een RDMA-capabele netwerkinterface nodig, hardware of de software-driver rxe, plus een schrijfbare KSMBD-share en een client die SMB Direct onderhandelt.
ZDI-CAN-33774 is het ernstigere lek van de twee, omdat er geen authenticatie voor nodig is en elke KSMBD-server op poort 445 kwetsbaar is. Het gaat om een race condition bij het toewijzen van de handler-tabel. Een reeks korte SMB1-pakketten gevolgd door een SMB2-pakket in dezelfde TCP-write zorgt ervoor dat workers SMB1-data met een SMB2-handler verwerken, waarbij voorbij het einde van de kortere buffer wordt gelezen. Zodra een aanvaller al toegang tot een share heeft, is ook schrijven buiten de buffer mogelijk.
Beide lekken zijn gevonden door TrendAI, de AI-gestuurde scantool van Trend Micro. Dat verklaart meteen waarom ze zonder patch op publieke mailinglijsten belandden. De kernel-securitydocumentatie is in mei 2026 aangepast en stelt dat door AI gevonden bugs als publiek worden beschouwd en gemeld moeten worden op de mailinglijst van het betreffende subsysteem, in plaats van alleen via het besloten securityadres. ZDI volgde die regel en stuurde de meldingen dus ook naar de publieke lijsten. Stable-maintainer Greg Kroah-Hartman reageerde kritisch op die aanpak en vroeg om een betere inzendprocedure, omdat er zonder bijgevoegde patch weinig mee te doen is.
Op het moment van schrijven staat er voor geen van beide lekken een fix in de mainline-kernel of in linux-next. Phoronix meldde dat SMB Direct-maintainer Stefan Metzmacher een fix voor ZDI-CAN-33549 heeft ingediend voor de volgende ontwikkelcyclus, maar dat is elders nog niet bevestigd. Zodra een fix er is, duurt het doorgaans nog weken voordat die ook stable-kernels en distributiekernels bereikt.
Beheerders kunnen met systemctl status ksmbd of lsmod | grep ksmbd controleren of de module actief is. Red Hat Enterprise Linux bevat KSMBD standaard niet. Draait een Linux-server KSMBD wel en is die vanaf het internet bereikbaar, dan is het verstandig om poort 445 tijdelijk af te schermen of de module uit te schakelen als de SMB-functionaliteit niet strikt noodzakelijk is, tot er een officiële patch beschikbaar is.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Draait uw Linux-infrastructuur KSMBD voor SMB-shares? Controleer nu of de module actief is en overweeg poort 445 tijdelijk af te schermen, want een officiële patch is er voor beide kritieke lekken nog niet.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.