📨 Уязвимости ядра Linux по ошибке попали в публичную рассылку. Две из них — RCE с CVSS 9.0 в SMB-коде ядра

Коллеги, история, которая напрямую касается ваших файловых серверов на Linux.

📌 ФАКТЫ
22 октября Zero Day Initiative (Trend Micro) отправила отчёты о шести уязвимостях не в закрытый список безопасности ядра, а в публичную LKML. Судя по всему, по ошибке

Самые серьёзные — удалённое выполнение кода с CVSS 9.0 в SMB Direct и во встроенном SMB-сервере ядра ksmbd

Остальные — повышение привилегий (сетевой код, драйвер VMware vmwgfx и др.) и утечка информации (NVMe target)

На момент публикации исправлений в основном ядре нет: для части уже готовятся патчи

🛠 ЗАДЕВАЕТ ЛИ ВАС
Bash

# ksmbd — модуль ядра, не путать с обычной Samba (smbd)
lsmod | grep -E 'ksmbd|smbdirect'
systemctl status ksmbd 2>/dev/null | head -3

# Кто слушает 445 порт
ss -ltnp | grep ':445'

Пусто или процесс smbd — у вас классическая Samba, ksmbd не используется

Если ksmbd включён и не нужен — выгрузите модуль и запретите его загрузку до выхода патчей

Bash

modprobe -r ksmbd
echo 'install ksmbd /bin/false' > /etc/modprobe.d/disable-ksmbd.conf

💡 В ЧЁМ СУТЬ

Пока патчей нет, работает только сокращение поверхности атаки. SMB-порт никогда не должен смотреть в интернет, а модули ядра, которыми вы не пользуетесь, лучше не загружать вовсе.

#linux #kernel #smb #ksmbd #security #sysadmin #admin_future