En octubre, se revelaron accidentalmente detalles técnicos de varios fallos de seguridad no parcheados de Linux en listas de correo públicas. Según reportes de la Zero Day Initiative de Trend Micro, se identificaron dos vulnerabilidades críticas (CVSS 9.0) que permitirían a un atacante remoto ejecutar código en sistemas que utilicen el servidor de archivos KSMBD del kernel de Linux.

Varias fallas de seguridad relacionadas con Linux sin parchear fueron publicadas en listas de correo públicas en octubre, exponiendo detalles técnicos antes de que las correcciones estuvieran listas.

Los informes, enviados por la Zero Day Initiative (ZDI) de Trend Micro, incluyen dos fallas críticas con una calificación CVSS de 9.0 que podrían permitir que un atacante remoto ejecute código en sistemas que utilizan el servidor de archivos KSMBD del kernel de Linux. Otros informes describen riesgos de escalada de privilegios locales y divulgación de información.

Los informes aparecieron en listas públicas, y el mantenedor del kernel de Linux, Greg Kroah-Hartman, cuestionó por qué algunos envíos se realizaron allí sin parches.

Sin embargo, los informes acreditan al escáner de IA de Trend Micro, y las noticias sobre la divulgación apuntan a una guía actualizada del kernel que trata los errores encontrados por IA como ya públicos. ZDI no había explicado públicamente el motivo del envío hasta el 23 de octubre de 2026, por lo que no está claro si se trató de un simple error.

Dos fallas críticas afectan a KSMBD

Los informes más urgentes se refieren a KSMBD, un servidor de archivos SMB opcional integrado en el kernel de Linux. Es independiente de Samba, el software de uso común para compartir archivos. Esto significa que los informes no afectan automáticamente a los sistemas Linux que ejecutan únicamente Samba. La pregunta inmediata para ti como operador es si KSMBD está habilitado y sirviendo archivos.

ZDI-CAN-33774 describe una condición de carrera en KSMBD que podría conducir a la ejecución remota de código. Una condición de carrera ocurre cuando el resultado depende de la sincronización de tareas que se ejecutan al mismo tiempo. En este caso, el informe indica que un desajuste en la forma en que el servidor maneja las solicitudes de red en cola puede provocar que la memoria sea leída o escrita más allá de sus límites previstos. ZDI calificó la falla con un CVSS de 9.0.

ZDI-CAN-33549, también calificada con CVSS 9.0, afecta la ruta SMB Direct de KSMBD. La causa reportada es un desbordamiento inferior de entero (integer underflow): un valor de tamaño puede reiniciarse después de una resta, dejando al programa con una longitud incorrecta.

Una operación de memoria posterior podría entonces exceder su búfer. El problema afecta a SMB Direct, que utiliza redes RDMA, por lo que la exposición depende de la configuración de tu servidor y del uso de esa función. Según se informa, había una corrección en una rama de desarrollo destinada a Linux 7.5, pero eso no significa que ya estuviera disponible en los kernels distribuidos o lanzados.

En el momento del informe, ninguna de las dos cuestiones críticas tenía una corrección nombrada en el kernel principal o en su árbol de integración, y no se había asignado ningún identificador CVE. Los cambios en el kernel también deben llegar a las versiones estables y de distribución antes de que muchos usuarios puedan instalarlos. Por lo tanto, debes revisar los avisos de seguridad de tu proveedor de Linux en lugar de asumir que una corrección en una rama de desarrollo ha llegado a tus sistemas.

Otros cuatro informes cubren diferentes componentes

Los informes restantes no afectan todos a la misma parte de Linux. ZDI-CAN-33367 involucra el código de red skb_zerocopy y puede permitir que un usuario local obtenga privilegios más altos. Se informa que los desarrolladores del kernel habían recibido un informe separado sobre el mismo problema la semana anterior, y se esperaba un parche. ZDI-CAN-34068 se refiere a una escritura fuera de límites en el controlador de gráficos de VMware, lo que también podría permitir la escalada de privilegios locales.

ZDI-CAN-34076 involucra un recurso no inicializado en el código de destino NVMe over Fabrics y puede exponer información. ZDI-CAN-32005, publicado un día antes, es un desbordamiento de búfer de pila en el manejo de consultas TCP de dominio de búsqueda de ConnMan. ConnMan es un servicio de gestión de red, no un componente del kernel de Linux, por lo que este informe no debe describirse como una falla del kernel.

Comienza comprobando si KSMBD está activo y si tu sistema realmente lo necesita. Si no es necesario, desactivarlo reduce la exposición a los dos informes de ejecución remota de código.

Si lo necesitas, mantén los servicios de uso compartido de archivos alejados de redes no confiables, revisa el acceso a las carpetas compartidas y monitorea las actualizaciones de seguridad de tu distribución de Linux en busca de correcciones. Estos pasos reducen el riesgo, pero no sustituyen la instalación de un parche aprobado por el proveedor una vez que esté disponible.

Los informes también muestran por qué la divulgación pública antes de una corrección puede crear presión para los mantenedores y los operadores de sistemas. Los detalles públicos pueden ayudarte a entender qué revisar, pero también pueden dar información útil a los atacantes antes de que las actualizaciones lleguen a los usuarios. Para obtener contexto sobre riesgos anteriores de KSMBD, revisa la cobertura de una falla de ejecución remota de código de Linux KSMBD y su informe sobre el descubrimiento asistido por IA en el servidor SMB de Linux.

Para una protección continua, debes seguir los avisos de tu distribución y aplicar las correcciones tan pronto como se publiquen.

Fuentes:
https://cybersecuritynews.com/linux-kernel-flaws-accidentally-disclosed/