Il 13 agosto 2026 l'advisory ZDI-26-573 documenta una vulnerabilità nel sottosistema KSMBD del kernel Linux che consente a un attaccante remoto non autenticato di leggere informazioni sensibili al di fuori dei limiti di un buffer allocato. La falla risiede nella funzione init_smb2_rsp_hdr e colpisce esclusivamente i sistemi con KSMBD abilitato, l'implementazione in-kernel del server SMB alternativa a Samba in userspace. La disclosure coordinata avviene a 41 giorni esatti dalla segnalazione al vendor, effettuata il 3 luglio 2026.
- La vulnerabilità ZDI-26-573 è un'out-of-bounds read nella funzione
init_smb2_rsp_hdrdel sottosistema KSMBD del kernel Linux. - L'autenticazione non è richiesta per l'exploit: solo la condizione di KSMBD abilitato espone il sistema.
- L'attaccante ottiene information disclosure in kernel context, con potenziale combinazione con altre vulnerabilità per arbitrary code execution.
- Linux ha rilasciato un aggiornamento correttivo; CVE e CVSS non sono assegnati o esplicitati nell'advisory ZDI.
Perché KSMBD cambia il perimetro di attacco
KSMBD è l'implementazione del protocollo SMB3 mantenuta direttamente nel kernel Linux, progettata per scenari embedded e NAS dove le prestazioni dello stack in-kernel superano quelle di Samba in userspace. La differenza architetturale è sostanziale: dove Samba opera in spazio utente con tutte le protezioni del modello di memoria Linux, KSMBD esegue in kernel context.
Questo significa che una vulnerabilità nel parser SMB di KSMBD non si traduce in un crash di processo isolabile o in un leak di dati utente, ma in accesso diretto allo spazio di indirizzamento del kernel. L'advisory ZDI specifica che l'information disclosure ottenuta attraverso la lettura oltre i limiti del buffer può essere combinata con altre vulnerabilità per eseguire codice arbitrario nel contesto del kernel.
La fonte non specifica quali altre primitive siano necessarie per completare l'escalation, né documenta la natura esatta delle informazioni leaked (strutture kernel, indirizzi di memoria, credenziali).
Il meccanismo della falla: init_smb2_rsp_hdr
La funzione init_smb2_rsp_hdr gestisce l'inizializzazione dell'intestazione di risposta SMB2 nel sottosistema KSMBD. Secondo l'advisory ZDI, la mancanza di una validazione adeguata dei dati forniti dall'utente consente una lettura oltre il termine del buffer allocato.
"The specific flaw exists within the init_smb2_rsp_hdr functions. The issue results from the lack of proper validation of user-supplied data, which can result in a read past the end of an allocated buffer." — ZDI Advisory ZDI-26-573
La condizione di attacco non richiede autenticazione, ma dipende dalla presenza di KSMBD attivo sul sistema target. Questa combinazione — esposizione di rete senza prerequisiti di credenziali e contesto di esecuzione privilegiato — rende la vulnerabilità particolarmente rilevante per infrastrutture di storage network esposte direttamente o posizionate in segmenti con controlli di accesso limitati.
Timeline e stato della correzione
La vulnerabilità è stata segnalata al vendor Linux il 3 luglio 2026. Il rilascio coordinato dell'advisory pubblico è avvenuto il 13 agosto 2026, con una finestra di 41 giorni tra report e disclosure. Linux ha emesso un aggiornamento correttivo, ma l'advisory ZDI non indica il commit hash specifico né le versioni del kernel interessate.
L'assenza di un CVE assegnato e di un punteggio CVSS esplicito nell'advisory non deve indurre a sottovalutazione: il kernel context implica il bypass implicito di tutte le protezioni userspace, e la mancanza di requisito di autenticazione abbassa significativamente la barriera all'ingresso per un attaccante.
Perché è importante
Il dossier non specifica la superficie di attacco reale di KSMBD in produzione, né fornisce metriche di adozione del sottosistema rispetto a Samba. La fonte non documenta inoltre se esistano exploit pubblici o se la vulnerabilità sia stata osservata in-the-wild.
Il brief non elenca misure correttive specifiche oltre l'aggiornamento emesso da Linux. Non emerge alcuna indicazione su controlli di mitigazione temporanei, configurazioni di KSMBD che limitino l'esposizione, o strumenti di rilevamento del tentativo di exploit.
Il dossier non specifica la natura esatta dei dati esposti attraverso l'out-of-bounds read, né la quantità di byte leggibili oltre il buffer allocato.
Lettura: il rischio dell'in-kernel networking
La ZDI-26-573 riapre una questione architetturale persistente nel design del kernel Linux. L'inserimento di parser di protocollo di rete complessi in kernel space — KSMBD è operativo dal kernel 5.15 — accorcia il percorso tra pacchetto ricevuto e memoria del kernel, ma comprime anche la superficie di attacco in un contesto dove ogni bug ha conseguenze massime.
La scelta tra KSMBD e Samba non è neutra dal punto di vista della sicurezza: il modello in userspace paga un overhead di context switch, ma guadagna isolamento di memoria, sandboxing del processo e granularità nel patching. La tendenza ad abilitare KSMBD in scenari NAS ed embedded per ragioni di throughput rende questa vulnerabilità rilevante per una tipologia di infrastruttura spesso sottodimensionata in termini di monitoraggio e ciclo di patch.
L'assenza di CVE e CVSS nell'advisory ZDI costituisce un limite operativo per i team di sicurezza che dipendono da questi identificatori per la prioritizzazione automatizzata, ma non attenua la severità intrinseca del contesto di esecuzione.
Domande frequenti
Samba è vulnerabile?
No. L'advisory si riferisce esclusivamente a KSMBD, implementazione in-kernel separata da Samba, che opera in userspace.
Tutti i sistemi Linux sono a rischio?
No. Solo i sistemi con il sottosistema KSMBD abilitato sono esposti secondo l'advisory ZDI.
È necessaria l'autenticazione per sfruttare la falla?
No. L'autenticazione non è richiesta per l'exploit, come documentato nell'advisory.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-573/
- https://www.trendmicro.com/
- https://www.trendmicro.com/en_us/business/products/one-platform.html
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.