Zes meldingen over kwetsbaarheden in de Linux-kernel, toegeschreven aan Trend Micro’s Zero Day Initiative (ZDI), kwamen volgens Next.ink op 21 en 22 oktober op openbare ontwikkellijsten terecht. Naast de beveiligingslijst van de kernel werden ook linux-kernel, linux-cifs, netdev en dri-devel gekopieerd.
De openbare berichten bevatten codepaden en KASAN-traces, meldde Next.ink. Twee meldingen betroffen KSMBD, de SMB-server in de kernel. Beide kregen volgens de berichtgeving een CVSS 3.1-score van 9,0.
De twee meldingen over KSMBD
ZDI-CAN-33774 beschrijft een race condition bij de verwerking van SMB-pakketten. Volgens Next.ink kan een specifieke volgorde van SMB1- en SMB2-pakketten leiden tot uitvoering van code op afstand. De gemelde voorwaarde is dat een aanvaller toegang heeft tot een share; daarvoor is volgens de berichtgeving geen autorisatie nodig.
ZDI-CAN-33549 betreft een integer underflow in KSMBD’s SMB Direct-pad. De gemelde omstandigheden zijn een RDMA-capabele netwerkinterface, een beschrijfbare KSMBD-share en een client die SMB Direct onderhandelt. SMB Direct is optioneel en standaard uitgeschakeld.
Drie andere gemelde kwetsbaarheden
Next.ink beschreef ook drie andere meldingen:
- ZDI-CAN-33367 betreft een probleem in
skb_zerocopydat volgens de berichtgeving lokale privilege-escalatie mogelijk maakt. - ZDI-CAN-34068 betreft een write buiten de grenzen in het VMware-stuurprogramma
vmwgfx, eveneens met mogelijke lokale privilege-escalatie. - ZDI-CAN-34076 betreft een niet-geïnitialiseerde resource in
nvmet, met mogelijke openbaarmaking van informatie.
De gemelde voorwaarden voor ZDI-CAN-33549 laten zien dat dit specifieke KSMBD-scenario afhankelijk is van de serverconfiguratie. De bekendmaking op zichzelf betekent dus niet dat elke Linux-installatie kwetsbaar is.
Wat de kernelrichtlijn zegt over AI-ondersteunde meldingen
De officiële beveiligingsrichtlijn van de Linux-kernel zegt dat kwetsbaarheden die met hulp van AI zijn ontdekt als openbaar moeten worden behandeld. De richtlijn raadt tegelijk af een reproducer, een voorbeeld waarmee een fout opnieuw kan worden opgewekt, openbaar te delen.
Een melding hoort volgens de richtlijn onder meer de getroffen versie of commit, een probleemomschrijving, de reproducer of de status daarvan en de omstandigheden die de fout activeren te bevatten. Ook vraagt de richtlijn om verificatie en een geteste oplossing.
Wat over patches is gemeld
Op 23 oktober 2026 meldde PC Gamer dat voor ZDI-CAN-33549 een patch in een Git-branch stond die bedoeld was voor Linux v7.5. Het bericht vermeldde ook dat enkele oplossingen in beta- of -next-branches werden getest of klaargezet.
