Hai lỗ hổng RCE KSMBD trên Linux được công bố trước khi có bản vá
"Two high-severity (CVSS 9.0) remote code execution (RCE) vulnerabilities, ZDI-CAN-33774 and ZDI-CAN-33549, have been disclosed for the Linux KSMBD SMB server. ZDI-CAN-33774 requires no authentication, while ZDI-CAN-33549 requires SMB Direct and RDMA. As of the report, no fixes are available in the mainline kernel."
Hai lỗ hổng RCE (Remote Code Execution) với điểm CVSS 9.0 có thể cho phép kẻ tấn công thực thi mã từ xa trên hệ thống bị ảnh hưởng. Lỗ hổng ZDI-CAN-33774 đặc biệt nghiêm trọng vì không yêu cầu xác thực.
Các lỗ hổng này có thể dẫn đến mất dữ liệu, gián đoạn dịch vụ và thiệt hại uy tín cho các doanh nghiệp sử dụng KSMBD. Việc vá lỗi kịp thời là vô cùng quan trọng để giảm thiểu rủi ro.
Trend Micro Zero Day Initiative (ZDI) công bố hai lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng (CVSS 9.0) trong KSMBD, máy chủ SMB tích hợp của Linux, vào ngày 22 tháng 10 năm 2026. Hiện tại, chưa có bản vá chính thức cho các lỗ hổng này trong kernel mainline.
Một trong hai lỗ hổng, ZDI-CAN-33774, không yêu cầu xác thực. Lỗ hổng còn lại, ZDI-CAN-33549, cần SMB Direct và RDMA (Remote Direct Memory Access).
ZDI-CAN-33549 là lỗi tràn số nguyên trong đường dẫn SMB Direct của KSMBD. Máy khách có thể cung cấp các descriptor bộ đệm RDMA, trong đó descriptor đầu tiên lớn hơn payload được khai báo. Điều này khiến bộ đếm kích thước của máy chủ bị tràn và cho phép sao chép bộ nhớ vượt quá vùng đệm đã cấp phát. Lỗ hổng này yêu cầu ba điều kiện: giao diện RDMA (phần cứng hoặc trình điều khiển rxe), một share KSMBD có thể ghi và máy khách đang thương lượng SMB Direct.
ZDI-CAN-33774 không cần xác thực, ảnh hưởng đến bất kỳ máy chủ nào đang chạy KSMBD trên cổng 445. Lỗ hổng này là một race condition trong cách KSMBD gán bảng xử lý. Một loạt các gói SMB1 ngắn theo sau là một gói SMB2 trên cùng một kết nối TCP khiến worker xử lý dữ liệu SMB1 bằng handler SMB2, đọc vượt quá cuối bộ đệm ngắn hơn. Kẻ tấn công cũng có thể ghi vượt bộ đệm sau khi có quyền truy cập vào share.
Tính đến ngày 26 tháng 10, cả hai lỗ hổng chưa có bản vá trong mainline kernel hoặc linux-next. Phoronix đưa tin Stefan Metzmacher, người bảo trì SMB Direct, đã gửi bản vá cho ZDI-CAN-33549 cho chu kỳ phát triển kernel tiếp theo, nhưng thông tin này chưa được xác nhận ở nơi khác. Bản vá thường mất vài tuần để được đưa vào các nhánh ổn định và kernel phân phối sau khi được hợp nhất vào mainline.
Các lỗ hổng này chưa có mã định danh CVE vì dự án kernel chỉ gán CVE sau khi bản vá ổn định được phát hành. Bạn có thể kiểm tra xem mô-đun KSMBD có đang hoạt động bằng lệnh systemctl status ksmbd hoặc lsmod | grep ksmbd. Theo tài liệu hỗ trợ của Red Hat, Red Hat Enterprise Linux không bao gồm KSMBD theo mặc định.
ZDI ghi nhận TrendAI, trình quét AI của Trend Micro, là người tìm thấy các lỗ hổng này. Tài liệu bảo mật kernel Linux, được cập nhật vào tháng 5 năm 2026, quy định rằng các lỗi được tìm thấy bởi công cụ AI, theo định nghĩa, đã được công khai và nên được gửi đến danh sách phát triển subsystem.
Câu hỏi thường gặp
KSMBD là gì?
KSMBD là máy chủ SMB (Server Message Block) tích hợp trong kernel Linux. SMB là giao thức chia sẻ file và máy in phổ biến, thường được sử dụng trong môi trường Windows.
SMB Direct và RDMA là gì?
SMB Direct là một tính năng cho phép SMB sử dụng RDMA (Remote Direct Memory Access) để truyền dữ liệu trực tiếp giữa bộ nhớ của máy chủ và máy khách, bỏ qua CPU. Điều này có thể cải thiện hiệu suất nhưng cũng làm tăng bề mặt tấn công.
Làm thế nào để kiểm tra xem KSMBD có đang chạy trên hệ thống của tôi không?
Bạn có thể sử dụng lệnh systemctl status ksmbd hoặc lsmod | grep ksmbd để kiểm tra xem mô-đun KSMBD có đang hoạt động hay không.
Góc nhìn của Orange Cloud
Theo chúng tôi, các lỗ hổng này đặc biệt đáng chú ý đối với các doanh nghiệp Việt Nam sử dụng Linux làm máy chủ file. Việc không cần xác thực của ZDI-CAN-33774 khiến các máy chủ này dễ bị tấn công từ xa. Các tổ chức nên kiểm tra xem KSMBD có đang chạy trên hệ thống của họ hay không và theo dõi các bản vá bảo mật. Điều đáng chú ý là việc triển khai SMB Direct và RDMA có thể làm tăng nguy cơ bị tấn công ZDI-CAN-33549.