Разработчики из программы Zero Day Initiative компании Trend Micro по ошибке опубликовали данные о как минимум шести критических уязвимостях ядра Linux в публичной рассылке LKML вместо защищенного канала.
Все обнаруженные бреши имеют рейтинг опасности CVSS 9.0 и выше и остаются неисправленными. Среди них — уязвимость ZDI-CAN-33774 в модуле KSMBD, позволяющая удаленно выполнять код, а также ZDI-CAN-33549, ZDI-CAN-33367, ZDI-CAN-34068, ZDI-CAN-34076 и ZDI-CAN-32005.
Заместитель Линуса Торвальдса Грег Кроа-Хартман потребовал пересмотреть процессы отправки отчетов. Согласно правилам сообщества, информация об уязвимостях должна раскрываться только после выпуска патча для стабильной версии ядра.
Наибольшему риску подвержены NAS-серверы и устройства, использующие модуль KSMBD с открытым портом 445. В качестве временной меры рекомендуется выгрузить модуль или заблокировать SMB через брандмауэр.
