La Zero Day Initiative di Trend Micro ha pubblicato per errore sei segnalazioni di vulnerabilità zero-day sulla mailing list pubblica del kernel Linux, anziché inviarle solo al canale riservato del team di sicurezza. Le falle non erano ancora corrette nel ramo principale del kernel, e tre avvisi includevano già il codice dimostrativo per sfruttarle. Due bug hanno gravità critica CVSS 9.0 e permettono l'esecuzione di codice da remoto. L'errore apre una finestra di rischio per chi amministra server Linux.
L'invio in chiaro su LKML e la risposta di Greg Kroah-Hartman
Per prassi le vulnerabilità non ancora risolte nel kernel vengono segnalate in privato all'indirizzo security@kernel.org, così da dare agli sviluppatori il tempo di scrivere e verificare le patch prima della divulgazione. Tra il 20 e il 21 ottobre, invece, i bollettini di Trend Micro sono partiti mettendo in copia anche la lista pubblica linux-kernel e le liste dei singoli sottosistemi. In questo modo dettagli tecnici e prove di concetto sono finiti subito in chiaro negli archivi pubblici.
Il vice-responsabile del kernel Linux, Greg Kroah-Hartman, è intervenuto pubblicamente rispondendo ai messaggi per chiedere conto dell'invio su una lista aperta e senza una patch allegata. Su sei segnalazioni trasmesse dalla Zero Day Initiative, tre contenevano l'analisi completa e il codice per riprodurre l'attacco, mentre altre due riportavano soltanto il titolo della vulnerabilità, lasciando i manutentori senza gli elementi tecnici necessari per preparare subito una correzione.
Le due falle critiche da CVSS 9.0 in SMB Direct e ksmbd
I due problemi più gravi hanno punteggio CVSS 9.0 e colpiscono i servizi SMB integrati nel kernel, con rischio di esecuzione di codice da remoto. La falla ZDI-CAN-33549 è un integer underflow nel trasporto SMB Direct su reti RDMA, capace di causare un overflow della memoria heap fino a otto kilobyte. Una correzione era già in cantiere per il futuro Linux 7.5 ed è stata ora anticipata con una patch per i rami stabili.
La seconda vulnerabilità critica, registrata con la sigla ZDI-CAN-33774, è una race condition nella gestione dei pacchetti del server in-kernel ksmbd. Un attaccante remoto può innescarla prima ancora dell'autenticazione, combinando pacchetti SMB1 e SMB2 nella stessa scrittura TCP per leggere porzioni di memoria del kernel, mandare in crash il sistema o eseguire codice arbitrario. In questo caso la correzione si trovava già nel ramo di sviluppo dei manutentori di ksmbd, ma non era ancora entrata nel kernel principale.
Gli altri quattro bug tra rete, driver VMware e NVMe
Tra le altre quattro segnalazioni spicca ZDI-CAN-33367, una falla nella funzione di rete skb_zerocopy che permette a un utente locale di ottenere i privilegi di root. Il bug aggira la correzione introdotta per la vulnerabilità Dirty Frag e consente di sovrascrivere file nella cache di pagina su distribuzioni come Ubuntu, Debian e AlmaLinux. Gli sviluppatori avevano già ricevuto una segnalazione analoga la settimana precedente e una patch, rivista da Eric Dumazet, è stata inviata alla lista di rete.
I restanti tre avvisi comprendono ZDI-CAN-34068, una scrittura fuori limite nel driver grafico virtuale vmwgfx che espone le macchine virtuali Linux su VMware a una scalata locale dei privilegi, e ZDI-CAN-34076, una risorsa non inizializzata nel target NVMe-over-Fabrics nvmet che porta a una divulgazione di informazioni. L'ultima voce, ZDI-CAN-32005, riguarda uno stack buffer overflow nelle query TCP search-domain: le verifiche successive hanno però chiarito che il difetto sta nel gestore di rete ConnMan in spazio utente.
Cosa cambia per chi gestisce server e sistemi Linux
La pubblicazione anticipata costringe chi amministra sistemi Linux a intervenire prima che le correzioni arrivino nel ramo principale del kernel e nei pacchetti delle singole distribuzioni. Il punto più delicato riguarda i server che usano ksmbd per condividere cartelle in rete: finché le patch non saranno distribuite, esporre la porta 445 con il modulo kernel attivo lascia i sistemi vulnerabili a tentativi di attacco remoto senza autenticazione, soprattutto se è abilitato anche il supporto opzionale a SMB Direct.
Su macchine multiutente, nodi container o ambienti condivisi, l'attenzione va invece alla falla locale su skb_zerocopy, per la quale il codice dimostrativo è già pubblico e funzionante. In attesa dell'aggiornamento del kernel, è possibile ridurre la superficie d'attacco limitando l'uso dei namespace utente non privilegiati e caricando solo i moduli di rete strettamente necessari, mentre chi usa macchine virtuali su VMware dovrà attendere i dettagli completi sul driver vmwgfx.