ZDI-26-573: vulnerabilità pre-autenticazione nel kernel Linux KSMBD con CVSS 9.3

Il 13 agosto 2026 il programma TrendAI Zero Day Initiative (ZDI) ha pubblicato l'advisory ZDI-26-573 su una vulnerabilità nel sottosistema KSMBD del kernel Linux. La falla permette a un attaccante remoto di leggere oltre i limiti di un buffer allocato nella funzione init_smb2_rsp_hdr, con information disclosure senza bisogno di credenziali — purché il servizio ksmbd sia attivo sul sistema bersaglio. Il punteggio CVSS è 9.3, secondo la lista published advisories di ZDI. La combinazione con altre vulnerabilità può portare a esecuzione di codice arbitrario in contesto kernel.

Il meccanismo: come funziona la falla in init_smb2_rsp_hdr

Il sottosistema KSMBD, introdotto nel kernel Linux 5.15, implementa un server SMB direttamente in kernel-space come alternativa a Samba in userspace. La promessa è prestazioni superiori eliminando i costi di context switch tra kernel e userspace.

Nella costruzione dell'header di risposta SMB2, la funzione init_smb2_rsp_hdr non valida correttamente i dati forniti dall'utente. L'advisory ZDI specifica che "the issue results from the lack of proper validation of user-supplied data, which can result in a read past the end of an allocated buffer". Questa lettura oltre confine espone contenuti di memoria adiacente al buffer legittimo — l'information disclosure documentata.

La condizione di attivazione è precisa: solo sistemi con ksmbd abilitato sono vulnerabili. L'advisory enuncia esplicitamente che l'autenticazione non è necessaria per lo sfruttamento. L'attaccante invia pacchetti SMB2 manipolati al servizio in ascolto e ottiene in risposta dati di memoria kernel che dovrebbero restare inaccessibili.

Da information disclosure a RCE: la catena di escalation

L'impatto dichiarato supera la semplice fuoriuscita di informazioni. Secondo il testo dell'advisory, "an attacker can leverage this in conjunction with other vulnerabilities to execute arbitrary code in the context of the kernel". La formula è tecnica e vincolante: la singola falla ZDI-26-573 non garantisce da sola l'esecuzione di codice remoto, ma costituisce un anello in una catena di exploit che, combinata con altre vulnerabilità, porta a controllo completo del sistema.

Il contesto kernel è il più privilegiato disponibile sul sistema. L'esecuzione di codice a questo livello bypassa ogni meccanismo di isolamento userspace, container compresi. Per un attaccante, l'obiettivo strategico è proprio questo: usare la disclosure di memoria per preparare un exploit più complesso — ad esempio identificando indirizzi di funzioni, strutture di controllo o altre primitive utili a un attacco successivo.

KSMBD: il trade-off del kernel-space

KSMBD è stato proposto come soluzione per scenari ad alta intensità di I/O: NAS, storage array, istanze cloud con workload SMB pesante. L'adozione è cresciuta nei provider che promuovono istanze Linux come alternative economiche a Windows Server per file sharing. La domanda che questo advisory riapre è se la marginal gain di prestazioni giustifichi la superficie di attacco aggiuntiva in kernel-space, specialmente quando il servizio è esposto direttamente a Internet o a reti non segmentate.

L'advisory ZDI non specifica quali versioni del kernel siano affette, né fornisce un CVE. Il CVE non risulta assegnato nell'advisory principale. Il commit GitHub indicato come riferimento al patch (ruolo linked_primary) restituisce errore 404, quindi il dettaglio della correzione non è verificabile direttamente dalla fonte citata.

"This vulnerability allows remote attackers to disclose sensitive information on affected installations of Linux Kernel KSMBD. Authentication is not required to exploit this vulnerability. However, only systems with ksmbd enabled are vulnerable." — Advisory ZDI-26-573

Cosa fare adesso

Le azioni prioritarie derivano direttamente dai fatti documentati:

• Verificare se ksmbd è attivo sui sistemi Linux in carico: la vulnerabilità non colpisce distribuzioni dove il modulo non è caricato o il servizio non è abilitato
• Applicare l'aggiornamento del kernel che Linux ha rilasciato per correggere la falla, confermato nell'advisory
• Limitare l'esposizione di SMB a Internet dove possibile: la condizione di autenticazione assente rende ogni istanza raggiungibile un bersaglio immediato
• Audit delle istanze cloud dove KSMBD può essere attivato di default o come opzione di performance nei servizi di file storage

L'advisory non indica se exploit pubblici esistano o se sfruttamento attivo sia in corso. Questi elementi rimangono non verificati al momento della pubblicazione.

Linea editoriale

ZDI-26-573 rappresenta un caso classico di vulnerabilità kernel con condizione di attivazione precisa ma impatto estremo. La combinazione di accesso remoto, assenza di autenticazione e CVSS 9.3 impone una risposta rapida, ma circoscritta: solo gli amministratori che hanno deliberatamente abilitato KSMBD devono agire. Per tutti gli altri, la priorità è la verifica, non il panico. La disclosure coordinata del 2026-08-13, a un mese dalla segnalazione del 2026-07-03, ha lasciato tempo per la preparazione delle patch. L'incognita rimane la catena di exploit: la falla da sola espone memoria, ma chi ha la capacità di combinare questa primitiva con altre vulnerabilità può ottenere molto di più.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-573/
• http://www.zerodayinitiative.com/advisories/published/
• http://www.zerodayinitiative.com/advisories/upcoming/
• https://github.com/torvalds/linux/commit/cfc0b8e5080aec87700774e8568765eaa4b7b92b
• https://www.trendmicro.com/
• https://www.trendmicro.com/en_us/business/products/one-platform.html