Riassunto:
Il team ZDI, un programma di vulnerabilità zero-day di proprietà della società di sicurezza di rete Trend Micro, ha recentemente copiato diversi rapporti sulle vulnerabilità nella mailing list pubblica del kernel Linux, incluse due vulnerabilità legate all'esecuzione di codice in modalità remota con punteggi fino a 9.0. Alcune delle vulnerabilità qui non sono state risolte e non dovrebbero essere rese pubbliche. A giudicare dalle informazioni nell'intestazione dell'e-mail, sembra che il rapporto sia stato inviato al team di sicurezza del kernel e sia stato accidentalmente copiato nell'elenco pubblico.
Nel rapporto sono coinvolte cinque vulnerabilità del kernel:
Il rapporto pubblico ZDI-CAN-33549 descrive un problema di underflow di numeri interi diretti SMB che potrebbe portare all'esecuzione di codice in modalità remota. L'ambiente di attivazione elencato nel report richiede l'abilitazione di SMB Direct, dei dispositivi RDMA e delle directory condivisibili.
ZDI-CAN-33774 implica una condizione di competizione nel server SMB del kernel KSMBD. Questa vulnerabilità può anche portare all'esecuzione di codice in modalità remota. ZDI-CAN-33549 e 33774 sono entrambe vulnerabilità nella categoria dell'esecuzione di codice in modalità remota ed entrambe hanno punteggi CVSS 4.0 pari a 9,0 (gravità).
Altri rapporti riguardano l'escalation dei privilegi locali nel codice di rete, scritture fuori limite nei driver grafici virtuali VMware e perdita di informazioni nei sottosistemi di destinazione NVMe. Esiste anche una vulnerabilità di overflow del buffer ConnMan, ma questa non è una vulnerabilità del kernel.
Si sospetta che il team di sicurezza lo abbia reso pubblico accidentalmente durante l'operazione:
La pagina di annuncio in attesa di ZDI elenca il rapporto sulla vulnerabilità del kernel di cui sopra come notifica al team del kernel Linux il 21 ottobre e pianificazione di rilasciare pubblicamente i dettagli sulla vulnerabilità il 18 febbraio 2027; la data di rilascio prevista corrispondente al rapporto ConnMan è il 16 febbraio 2027.
Al momento, le correzioni pertinenti non sono ancora state integrate nella versione principale del kernel Linux. Si può vedere che si tratta puramente di un errore operativo che ha fatto sì che le vulnerabilità venissero rivelate in anticipo. Non è noto se la divulgazione anticipata di queste vulnerabilità causerà potenziali danni all'ecosistema Linux.
Commenti