Linux KSMBD 两项远程代码执行漏洞披露，NAS 与自编译内核需优先排查

Trend Micro 旗下 Zero Day Initiative（ZDI）披露两项 Linux KSMBD 远程代码执行漏洞：ZDI-CAN-33549 及 ZDI-CAN-33774，CVSS 均为 9.0。KSMBD 默认关闭，主要暴露在已启用该功能的自建 NAS 及企业文件共享节点。

ZDI 披露 KSMBD 两项 CVSS 9.0 漏洞

ZDI-CAN-33774（协议处理器竞争条件）：一连串短 SMB1 数据包后紧接 SMB2，可能使工作线程使用 SMB2 处理器解读较短的 SMB1 缓冲区，造成越界读取；取得共享权限后还可能进入越界写入路径。该漏洞可在网络认证前触发，攻击面涵盖对外开放 445 端口且启用 KSMBD 的主机。

ZDI-CAN-33549（SMB Direct 整数下溢）：攻击者需具备 RDMA 能力接口（硬件或 rxe 软件驱动）、可写入的 KSMBD 共享，并协商 SMB Direct，条件较严格，但仍属远程代码执行等级。

本次披露由研究员 Hyeontae Lee 与 ZDI 合作完成；ZDI 现行正式名称为「TrendAI Zero Day Initiative」。ZDI 发送报告时同时抄送公开的 Linux 内核邮件列表（LKML），稳定内核维护者 Greg Kroah-Hartman 随即质疑此提交流程；Linux 内核安全文档在 2026 年 5 月更新后指出，AI 工具发现的缺陷按定义已属公开，应发送到子系统开发者列表。

KSMBD 适用范围：默认关闭，主要暴露在自建 NAS 与企业文件共享节点

KSMBD 是 Linux 内核内置的 SMB3 文件共享服务器，性能相关的开文件、读写在内核空间执行，账号与部分管理由用户空间的 ksmbd-tools 处理；对应的配置选项（CONFIG_SMB_SERVER）默认关闭。因此，真正的暴露面是「已编译并启用 KSMBD」的系统，常见于自建 NAS 及部分企业文件共享节点，并非每台 Linux 主机都受影响。

Red Hat 文档指出，RHEL 出厂内核不包含 ksmbd，历史相关 CVE 亦声明 RHEL 产品不受影响。管理员可用 lsmod | grep ksmbd 或 systemctl status ksmbd 确认模块是否加载，并检查内核配置中 CONFIG_SMB_SERVER 是否启用。

修补进度：ZDI-CAN-33774 已进入 linux-next

ZDI-CAN-33774 的修补由 KSMBD 维护者 Namjae Jeon 于 9 月 30 日完成（另有报告者更早通报同一问题），于 10 月 21 日收进 linux-next；Jeon 于 10 月 22 日在邮件串中回复称此问题已修复。ZDI-CAN-33549 的修补位于预计合入 Linux v7.5 的 Git 分支，预计将加速进入 mainline。

截至 10 月 23 日凌晨，两项漏洞均未进入 mainline，也尚未分配 CVE 编号（Linux 项目通常要等 stable 树有修补后才分配 CVE）。即使修补进入 mainline，通常仍需数周才会回流到各发行版的 stable／LTS 内核。

缓解建议：通过 lsmod 或 systemctl 确认模块状态

在修补尚未落地前，建议管理员采取以下措施：

确认模块状态：运行 lsmod | grep ksmbd 或 systemctl status ksmbd，确认 KSMBD 是否已加载

确认内核配置：查看 CONFIG_SMB_SERVER 是否启用

停用 KSMBD：卸载模块，在 /etc/modprobe.d/ 中创建 blacklist 配置，重建 initramfs 并重启（Red Hat 过往的缓解建议也采用此做法）

若必须继续提供 SMB：通过防火墙限制 445 及 SMB Direct 相关端口、关闭 guest 可访问共享、限制来源网段，并关闭不必要的 SMB1

NAS 与自行编译内核的管理员应优先进行排查，桌面发行版若未启用该模块则风险较低。

常见问题

ZDI-CAN-33774 与 ZDI-CAN-33549 的主要差异是什么？

ZDI-CAN-33774 是协议处理器竞争条件，可在网络认证前触发，攻击面涵盖对外开放 445 端口且启用 KSMBD 的主机，修补已于 10 月 21 日进入 linux-next。ZDI-CAN-33549 是 SMB Direct 整数下溢，需攻击者具备 RDMA 能力接口、可写入的 KSMBD 共享并协商 SMB Direct，条件较严格，修补位于预计合入 Linux v7.5 的 Git 分支。两者 CVSS 均为 9.0，截至 10 月 23 日均未进入 mainline。