ZDI-CAN-33549 ist ein Integer-Underflow im SMB-Direct-Pfad von KSMBD. Ein Client kann RDMA-Pufferdeskriptoren übermitteln, bei denen der erste länger ist als die deklarierte Nutzlast. Dadurch läuft der Größenzähler des Servers über, und eine anschließende Speicherkopie schreibt über das Ende eines allokierten Puffers hinaus. Für einen Angriff sind drei Dinge nötig: eine RDMA-fähige Schnittstelle (Hardware oder der Software-Treiber rxe), eine beschreibbare KSMBD-Freigabe und ein Client, der SMB Direct aushandelt.

ZDI-CAN-33774 beruht auf einer Race Condition bei der Zuweisung der Handler-Tabelle in KSMBD: Eine Folge kurzer SMB1-Pakete, gefolgt von einem SMB2-Paket im selben TCP-Schreibvorgang, führt dazu, dass Worker SMB1-Daten mit einem SMB2-Handler verarbeiten und über das Ende des kürzeren Puffers hinaus lesen. Sobald ein Angreifer Zugriff auf eine Freigabe hat, existiert auch ein Weg, über den Puffer hinaus zu schreiben.

Stand Donnerstag gibt es weder im Mainline-Kernel noch in linux-next, dem Integrationszweig, der Mainline speist, einen benannten Fix. Der SMB-Direct-Maintainer Stefan Metzmacher soll laut Phoronix einen Fix für ZDI-CAN-33549 für den nächsten Entwicklungszyklus eingereicht haben; anderweitig bestätigt ist das nicht. Bis Korrekturen aus Mainline in die Stable-Zweige und danach in Distributionskernel gelangen, vergehen typischerweise Wochen. Eine CVE-Kennung hat bislang keine der beiden Lücken, da das Kernel-Projekt diese erst vergibt, wenn ein Fix im Stable-Tree vorliegt.

Ob das Modul aktiv ist, lässt sich mit systemctl status ksmbd oder lsmod | grep ksmbd prüfen. Red Hat Enterprise Linux enthält KSMBD laut Red Hats Support-Dokumentation standardmäßig nicht.

Als Finder weisen die ZDI-Meldungen TrendAI aus, den KI-Scanner von Trend Micro. Die Sicherheitsdokumentation des Linux-Kernels, im Mai 2026 nach einer Vorgabe von Linus Torvalds aktualisiert, hält fest, dass per KI-Werkzeug gefundene Fehler definitionsgemäß bereits öffentlich sind und an die Entwicklerlisten der jeweiligen Subsysteme geschickt werden sollen. Die Zustellung durch ZDI folgte offenbar dieser Logik: Die Berichte gingen neben der privaten Kernel-Security-Adresse auch an öffentliche Mailinglisten – ohne beigefügte Patches.

Stable-Kernel-Maintainer Greg Kroah-Hartman antwortete innerhalb weniger Minuten auf drei der fünf Kernel-Meldungen. Zum Bericht über den VMware-GPU-Treiber schrieb er: „Aus irgendeinem Grund habt ihr das an öffentliche Listen geschickt und keinen Patch beigelegt, deshalb können wir damit nicht viel anfangen." Siebzehn Sekunden später zur Meldung über den NVMe-Treiber: „Wieder kein Patch, und an eine öffentliche Liste geschickt? Bitte repariert euren Einreichungsprozess."

Drei der fünf Kernel-Meldungen haben keinen Bezug zu SMB:

  • ZDI-CAN-33367, entdeckt vom Forscher p1r0x: lokale Rechteausweitung im Netzwerk-Stack des Kernels, erfordert lokalen Zugriff
  • ZDI-CAN-34068: lokale Rechteausweitung im virtuellen GPU-Treiber von VMware
  • ZDI-CAN-34076: Informationsoffenlegung im NVMe-Target-Treiber

Keine davon betrifft KSMBD-Server. Ein sechster ZDI-Bericht, ZDI-CAN-32005, beschreibt einen Pufferüberlauf in ConnMan, einem vom Linux-Kernel getrennten Netzwerk-Daemon.