Hai lỗ hổng Linux KSMBD được Zero Day Initiative (ZDI) của Trend Micro chấm CVSS 9.0 đã bị đăng lên danh sách thư công khai của nhân Linux ngày 21–22/10/2026. Lúc đó cả hai chưa có bản vá trong nhánh chính và chưa có mã CVE. KSMBD là máy chủ SMB chạy trong kernel, nên lỗi có thể dẫn tới thực thi mã từ xa ở mức nhân. Tin tốt là phần lớn VPS Linux không dùng KSMBD.

Tóm tắt nhanh

  • Chuyện gì xảy ra: ZDI gửi sáu báo cáo lỗi kernel chưa vá lên mailing list công khai (LKML) thay vì kênh bảo mật riêng. Hai trong số đó là lỗi RCE trong KSMBD.
  • Mức độ: cả hai được ZDI chấm CVSS 9.0. Chưa có mã CVE.
  • Ai bị ảnh hưởng: chỉ máy nạp module ksmbd và phục vụ SMB, thường là NAS, máy chủ chia sẻ tệp, thiết bị lưu trữ. KSMBD không phải Samba.
  • Khai thác: các nguồn chúng tôi tham khảo chưa ghi nhận khai thác thực tế, nhưng chi tiết kỹ thuật đã công khai.

Hai lỗ hổng KSMBD gồm những gì

Mã ZDICVSSLoại lỗiĐiều kiệnTrạng thái sửa
ZDI-CAN-337749.0Race condition khi điều phối request giữa SMB1 và SMB2, dẫn tới đọc/ghi ngoài vùng nhớCổng 445 truy cập được; nguồn khác nhau về yêu cầu xác thựcChưa có bản sửa trong mainline tính đến 22/10
ZDI-CAN-335499.0Tràn số nguyên âm (integer underflow) trong đường xử lý SMB DirectCần share ghi được và kết nối SMB Direct qua RDMA (phần cứng hoặc driver rxe)Có bản sửa trong nhánh phát triển hướng tới Linux 7.5

Với ZDI-CAN-33774, Threat Landscape mô tả lỗi khai thác được mà không cần xác thực mạng. Bài trên freenode.net dẫn vector CVSS AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H, nhưng phần mô tả lại nói cần truy cập vào một share cho phép guest. Các nguồn chỉ nêu lỗi được thử trên kernel 7.3-rc3, chưa công bố dải phiên bản bị ảnh hưởng.

Bốn báo cáo còn lại trong đợt này gồm các lỗi leo thang đặc quyền cục bộ trong ngăn xếp mạng (skb_zerocopy), driver đồ họa ảo VMware vmwgfx, đường truy vấn TCP, và một lỗi lộ thông tin trong mã NVMe target. Các lỗi leo quyền cục bộ đáng lo hơn trên máy chủ dùng chung nhiều người.

Vì sao việc công bố sớm đáng chú ý

Thông thường lỗi kernel được báo qua kênh riêng để kịp vá trước khi công khai. Lần này chi tiết lên mailing list trước. Theo HWBusters, Greg Kroah-Hartman đã trả lời từng báo cáo để hỏi vì sao chúng được gửi lên danh sách công khai. Hệ quả là các bản phân phối phải backport ngoài kế hoạch, và trong thời gian chờ, người có ý đồ xấu có thể đọc được mô tả lỗi.

Kiểm tra VPS có dùng KSMBD không

# Module ksmbd có đang được nạp không
lsmod | grep ksmbd

# Dịch vụ ksmbd (nếu có cài ksmbd-tools)
systemctl status ksmbd

# Có tiến trình nào đang lắng nghe cổng 445 không
sudo ss -ltnp | grep ':445'

# Phiên bản kernel hiện tại
uname -r

Nếu không có kết quả cho lsmod và cổng 445 không mở, máy của bạn không chạy KSMBD. Nếu cổng 445 mở bởi smbd, đó là Samba, không thuộc phạm vi hai lỗi này.

Nếu không cần KSMBD, có thể gỡ module và chặn nạp lại. Đây là cách làm chung trên Linux, hãy thử trên máy thử nghiệm trước:

# Dừng dịch vụ và gỡ module
sudo systemctl disable --now ksmbd 2>/dev/null
sudo modprobe -r ksmbd

# Chặn nạp lại khi khởi động
echo "blacklist ksmbd" | sudo tee /etc/modprobe.d/disable-ksmbd.conf

# Chặn cổng 445 từ Internet (ví dụ với UFW)
sudo ufw deny 445/tcp

Việc cần làm ngay

Với chủ VPS, máy chủ riêng và NAS tự dựng

  1. Kiểm tra module ksmbd trên mọi máy. Nếu không dùng, gỡ và blacklist.
  2. Nếu bắt buộc dùng KSMBD, không để cổng 445 mở ra Internet. Chỉ cho phép qua VPN hoặc mạng nội bộ, và tắt quyền truy cập guest.
  3. Không bật SMB Direct (RDMA) nếu không thật sự cần.
  4. Theo dõi thông báo bảo mật kernel của Ubuntu, Debian, AlmaLinux, Rocky Linux và cài bản cập nhật ngay khi có, rồi khởi động lại máy.
  5. Trên máy chủ nhiều người dùng, chú ý thêm các lỗi leo quyền cục bộ trong cùng đợt và cập nhật kernel khi bản sửa ra mắt.

Với khách hàng shared hosting

  • Bạn không quản lý kernel, nên không cần thao tác gì. Hai lỗi RCE chỉ ảnh hưởng máy chủ chạy KSMBD, cấu hình hiếm gặp trên máy chủ hosting web.
  • Nếu muốn chắc chắn, có thể hỏi nhà cung cấp về lịch cập nhật kernel cho các lỗi công bố ngày 21–22/10.

Nguồn tham khảo