Résumé :
L'équipe ZDI, un programme de vulnérabilité Zero Day appartenant à la société de sécurité réseau Trend Micro, a récemment copié plusieurs rapports de vulnérabilité sur la liste de diffusion publique du noyau Linux, y compris deux vulnérabilités d'exécution de code à distance avec des scores allant jusqu'à 9,0. Certaines des vulnérabilités ici n'ont pas été corrigées et ne doivent pas être rendues publiques. À en juger par les informations d'en-tête de l'e-mail, il semble que le rapport ait été envoyé à l'équipe de sécurité du noyau et ait été accidentellement copié dans la liste publique.
Cinq vulnérabilités du noyau sont impliquées dans le rapport :
Le rapport public ZDI-CAN-33549 décrit un problème de dépassement de dépassement d'entier SMB Direct qui pourrait conduire à l'exécution de code à distance. L'environnement de déclenchement répertorié dans le rapport nécessite l'activation de SMB Direct, des appareils RDMA et des répertoires partageables.
ZDI-CAN-33774 implique une condition de concurrence critique dans le serveur SMB du noyau KSMBD. Cette vulnérabilité peut également conduire à l'exécution de code à distance. ZDI-CAN-33549 et 33774 sont tous deux des vulnérabilités dans la catégorie d'exécution de code à distance et ont tous deux des scores CVSS 4.0 de 9,0 (gravité).
D'autres rapports impliquent une élévation de privilèges locaux dans le code réseau, des écritures hors limites dans les pilotes graphiques virtuels VMware et des fuites d'informations dans les sous-systèmes cibles NVMe. Il existe également une vulnérabilité de débordement de tampon ConnMan, mais il ne s'agit pas d'une vulnérabilité du noyau.
On soupçonne que l'équipe de sécurité l'a accidentellement rendu public pendant l'opération :
La page d'annonce en attente de ZDI répertorie le rapport de vulnérabilité du noyau ci-dessus comme ayant notifié l'équipe du noyau Linux le 21 octobre et prévoyant de publier publiquement les détails de la vulnérabilité le 18 février 2027 ; la date de sortie prévue correspondant au rapport ConnMan est le 16 février 2027.
À l'heure actuelle, les correctifs concernés n'ont pas encore été fusionnés dans la version principale du noyau Linux. On peut voir qu’il s’agit simplement d’une erreur opérationnelle qui a entraîné la divulgation anticipée des vulnérabilités. On ne sait pas si la divulgation précoce de ces vulnérabilités causera des dommages potentiels à l'écosystème Linux.
Commentaires