Linux-KSMBD: Zwei öffentlich bekannte RCE-Lücken, aber noch kein Kernel-Fix
Für Linux-Server mit aktivem KSMBD gibt es seit dem 22. Oktober 2026 zwei öffentlich gemeldete Schwachstellen zur Remote-Code-Ausführung. Beide werden mit CVSS 9,0 bewertet; eine der Lücken soll ohne vorherige Netzwerkauthentifizierung auslösbar sein. Einen Fix im Mainline-Kernel gab es zum Veröffentlichungszeitpunkt noch nicht.
Betroffen ist der im Kernel integrierte SMB-Server KSMBD. Die beiden Fehler unterscheiden sich bei den Voraussetzungen: ZDI-CAN-33774 betrifft einen Race-Condition-Fehler bei der Verarbeitung von SMB1- und SMB2-Paketen. Laut der vorliegenden Beschreibung kann ein Angreifer ihn gegen jeden KSMBD-Server auf Port 445 richten, ohne sich zuvor anzumelden. Zusätzlich besteht ein möglicher Schreibpfad über einen Share, sobald der Angreifer Zugriff darauf hat.
ZDI-CAN-33549 liegt im SMB-Direct-Pfad und ist enger eingegrenzt. Dafür werden eine RDMA-fähige Netzwerkschnittstelle, ein beschreibbarer KSMBD-Share und ein Client benötigt, der SMB Direct aushandelt. Als mögliche Schnittstelle nennt der Bericht entweder passende Hardware oder den Softwaretreiber rxe. Der Fehler lässt dabei laut Beschreibung einen Zähler überlaufen und kann anschließend einen Schreibzugriff über das Ende eines reservierten Puffers hinaus ermöglichen.
Für Betreiber ist deshalb zunächst entscheidend festzustellen, ob KSMBD überhaupt geladen ist. Der Bericht nennt dafür die Befehle „systemctl status ksmbd“ und „lsmod | grep ksmbd“. Red Hat Enterprise Linux enthält KSMBD laut der dort angeführten Support-Dokumentation standardmäßig nicht. Das grenzt die unmittelbare Relevanz für diese Distribution ein, sagt aber nichts über andere Linux-Systeme oder manuell aktivierte Kernel-Module aus.
Eine belastbare Patch-Anweisung ist derzeit nicht möglich: Für keine der beiden Lücken war im Mainline-Kernel oder in linux-next ein benannter Fix vorhanden. Ein von Phoronix berichteter Fix-Vorschlag für ZDI-CAN-33549 sei zwar für den nächsten Kernel-Entwicklungszyklus eingereicht worden, laut dem Bericht aber nicht anderweitig bestätigt. Zudem haben die Fehler noch keine CVE-IDs, weil das Kernel-Projekt diese erst nach einem Fix für einen Stable-Zweig vergibt. Wer KSMBD einsetzt, sollte daher den Modulstatus und die eigene SMB- beziehungsweise RDMA-Exponierung prüfen und auf bestätigte Kernel- oder Distributionsupdates achten.