Exploit público de root reportado no kernel Linux; sem correção mainline
A Zero Day Initiative (Trend Micro) publicou por engano seis relatos de falhas do kernel Linux na lista pública LKML, incluindo escalada de privilégio local até root (ZDI-CAN-33367, CVSS 7.8) e duas RCEs CVSS 9.0 no ksmbd. Uma matéria reporta exploit público de root para uma das falhas, e nenhum kernel mainline ou stable está corrigido. Aplique o livepatch do KernelCare (CloudLinux 10 e AlmaLinux 10) ou os backports em teste da AlmaLinux enquanto a correção upstream não é mesclada.
O que aconteceu
A Zero Day Initiative (Trend Micro) publicou por engano seis relatos de falhas do kernel Linux na lista pública de e-mails do kernel (LKML). Incluem uma escalada de privilégio local até root e duas falhas de execução remota de código (CVSS 9.0) no servidor de arquivos in-kernel ksmbd. Uma matéria reporta exploit público de root para uma das falhas, e nenhum kernel mainline ou stable está corrigido.
Por que importa
A escalada de privilégio permite que um atacante com acesso local ou conta comum tome o servidor inteiro como root. As falhas do ksmbd expõem servidores com o servidor SMB in-kernel carregado e servindo compartilhamentos. Sem correção no kernel, cada servidor Linux afetado roda hoje com falha conhecida e detalhada publicamente.
O que fazer
Aplique o livepatch do KernelCare (CloudLinux 10 e AlmaLinux 10) ou os backports da AlmaLinux no repositório almalinux-testing (8: 4.18.0-553.177.2.el8_10; 9: 5.14.0-687.59.2.el9_8; 10: 6.12.0-211.68.2.el10_2). Verifique se o módulo ksmbd está carregado e desative se não for usado. Acompanhe a mesclagem da correção upstream e reforce o controle de acesso local.
Para o time técnico
- Afetados
- Linux kernel Kernel Linux: ksmbd (servidor SMB in-kernel) e SMB Direct, skbuff/NFQUEUE, vmwgfx, nvmet · Linux kernel; relatos testados no Linux 7.3-rc1 e 7.3-rc3 (Debian trixie); primeiras versões afetadas não publicadas. Componentes: ksmbd e SMB Direct, skbuff/NFQUEUE, vmwgfx, nvmet.
- Exploração
- Estágio de PoC: matéria reporta exploit público de root para uma das seis falhas. Phoronix reporta que os relatos da ZDI foram postados por engano na LKML pública em vez da lista privada de segurança. As fontes não mencionam exploração em massa.
- Correção
- Nenhum kernel mainline ou stable corrigido. Correção do skb_zerocopy (ZDI-CAN-33367) postada para revisão upstream, não mesclada. ksmbd race (ZDI-CAN-33774): commit 68f410faedaf na árvore do mantenedor (linkinjeon/smb.git), ainda sem release. SMB Direct (ZDI-CAN-33549): provavelmente corrigido no branch for-7.5/smbdirect de Stefan Metzmacher (não confirmado). KernelCare livepatch disponível para CloudLinux 10 e AlmaLinux 10 (versão 9 em revisão, 8 em progresso). Backports AlmaLinux no repositório almalinux-testing, fora dos repositórios de produção: 8: 4.18.0-553.177.2.el8_10, 9: 5.14.0-687.59.2.el9_8, 10: 6.12.0-211.68.2.el10_2. Sem kernel RHEL corrigido.
- Vetor
- Múltiplos componentes: skbuff skb_zerocopy (rede/NFQUEUE) dá escalada de privilégio local até root (ZDI-CAN-33367, CVSS 7.8); ksmbd, servidor SMB in-kernel, tem RCE por race condition no dispatch de protocolo (ZDI-CAN-33774) e RCE por integer underflow no SMB Direct (ZDI-CAN-33549), ambas CVSS 9.0; vmwgfx dirty tracking out-of-bounds write LPE (ZDI-CAN-34068); nvmet Get Log Page usa recurso não inicializado, info disclosure (ZDI-CAN-34076). As RCEs do ksmbd exigem o servidor SMB in-kernel carregado e servindo compartilhamentos; o bug do SMB Direct exige dispositivo RDMA e CONFIG_SMB_SERVER_SMBDIRECT.
- Mais detalhes
- ZDI (Trend Micro Zero Day Initiative) enviou os relatos à LKML por engano; Greg Kroah-Hartman respondeu a cada relato questionando o envio público, segundo o Phoronix. Phoronix também cita ZDI-CAN-32005 (stack buffer overflow em consulta TCP de search-domain, LPE), postada um dia antes. Desenvolvedores do kernel haviam recebido relato de outra fonte na semana anterior sobre o mesmo problema do skb_zerocopy, com patch esperado em breve. Matéria do Phoronix datada de 22 de outubro de 2026; blog da CloudLinux indica início em 2026-10-21.
Linha do tempo
Matéria reporta exploit público de root para uma das seis falhas, ainda sem correção no kernel.
ZDI divulga LPE local sem correção mainline; livepatch limitado a CloudLinux 10 e AlmaLinux 10.
Fontes 9 fontes
- ZDI-CAN-33367: Linux Kernel Local Root Zero-Day, Mitigation for CloudLinux CloudLinux
- Two CVSS 9.0 Linux KSMBD RCE Flaws Disclosed on Public Mailing Lists Before Kernel Fixes The Hacker News
- Several Linux Kernel Vulnerabilities Accidentally Posted To Public Kernel Mailing List Phoronix
- ZDI-CAN-33549: KSMBD SMB Direct integer underflow RCE (CVSS 9.0) LKML / ZDI
- ZDI-CAN-33774: KSMBD protocol dispatch race RCE (CVSS 9.0) LKML / ZDI
Ver todas as 11 fontes
- ZDI-CAN-33367: skbuff skb_zerocopy local privilege escalation (CVSS 7.8) LKML / ZDI
- ZDI-CAN-34068: vmwgfx dirty tracking out-of-bounds write LPE (Greg KH reply) dri-devel
- ZDI-CAN-34076: nvmet Get Log Page uninitialized resource info disclosure (Greg KH reply) lore.kernel.org
- ksmbd: wait for negotiation before receiving another PDU (fix for the ksmbd race) git.kernel.org
- ZDI-CAN-33367: Patched kernels available in testing AlmaLinux
- Linux Flaws Exposed Before Fixes as Root Exploit Goes Public Infosecurity Magazine
