Secondo Next.ink, il 21 e 22 ottobre sei rapporti sulle vulnerabilità del kernel Linux attribuiti alla Zero Day Initiative di Trend Micro furono inviati alla lista privata di sicurezza del kernel, con copie anche su liste pubbliche di sviluppo. Due riguardavano KSMBD e ricevettero un punteggio CVSS 3.1 di 9,0; i loro impatti sono descritti come potenziali, non come attacchi accertati.
Sei segnalazioni copiate sulle liste pubbliche
Tra le liste di sviluppo copiate figuravano linux-kernel, linux-cifs, netdev e dri-devel. I rapporti pubblicati contenevano dettagli tecnici, tra cui percorsi del codice e tracce KASAN, uno strumento che individua errori di memoria nel kernel. La ricostruzione di Next.ink non presenta l’invio pubblico come un fatto certamente accidentale: l’intento è stato contestato.
Che cosa descrivono i due rapporti KSMBD
KSMBD è il server SMB del kernel Linux. Secondo Next.ink, ZDI-CAN-33549 descrive un underflow intero nel percorso SMB Direct e ZDI-CAN-33774 una condizione di gara nell’elaborazione dei pacchetti SMB1 e SMB2. Entrambi i rapporti indicavano una possibile esecuzione di codice da remoto e avevano un punteggio CVSS 3.1 di 9,0. CVSS è il sistema usato per valutare la gravità delle vulnerabilità.
Per ZDI-CAN-33549, le condizioni riportate comprendevano un’interfaccia compatibile con RDMA, una condivisione KSMBD scrivibile e un client che negoziasse SMB Direct. Questa funzione è opzionale e disattivata per impostazione predefinita. Per ZDI-CAN-33774, il caso descritto riguardava pacchetti SMB1 brevi seguiti da un pacchetto SMB2 nella stessa scrittura TCP; l’attaccante doveva poter accedere a una condivisione, ma secondo il rapporto non era necessaria un’autorizzazione.
Gli altri rapporti e i loro impatti
Le altre quattro segnalazioni comprendevano ZDI-CAN-33367, ZDI-CAN-34068, ZDI-CAN-34076 e ZDI-CAN-32005. Le descrizioni riportate attribuivano a ZDI-CAN-33367, relativo a skb_zerocopy, e a ZDI-CAN-34068, relativo al driver grafico virtuale vmwgfx, un possibile aumento dei privilegi locali. ZDI-CAN-34076, relativo a nvmet, riguardava invece una possibile divulgazione di informazioni.
SavvyNik commenta in inglese la divulgazione e i due rapporti KSMBD, compresi i punteggi CVSS 9,0.
La policy del kernel sulle segnalazioni assistite dall’IA
La documentazione ufficiale del kernel Linux sulla segnalazione di vulnerabilità stabilisce che i problemi individuati con l’assistenza dell’IA devono essere trattati come pubblici, ma sconsiglia di pubblicare un riproduttore, cioè un esempio che consente di ripetere il problema. La guida chiede inoltre di indicare la versione o il commit interessato, descrivere il problema, precisare lo stato del riproduttore e specificare le condizioni che attivano la vulnerabilità.
Le patch nei rami di sviluppo
Il 23 ottobre 2026 PC Gamer riferiva che una patch per ZDI-CAN-33549 era presente in un ramo Git destinato a Linux v7.5. La testata riportava anche che alcune correzioni erano in prova o in coda nei rami beta o -next.
