Несколько отчетов о новых уязвимостях в ядре Linux были ошибочно опубликованы в почтовой рассылке Linux Kernel Mailing List (LKML). Материалы были подготовлены специалистами программы Zero Day Initiative (ZDI) компании Trend Micro. На текущий момент часть исправлений находится на стадии тестирования или в кандидатских ветках, а некоторые проблемы еще не включены в основную ветку ядра.
Уязвимости затрагивают различные подсистемы, включая сетевое взаимодействие, файловые службы, виртуализацию и графические драйверы. Две критические уязвимости — ZDI-CAN-33549 в SMB Direct и ZDI-CAN-33774 в KSMBD — получили оценку 9.0 по шкале CVSS и несут риск удаленного выполнения кода.
Среди прочих проблем зафиксированы ZDI-CAN-33367 в коде skb_zerocopy, которая может привести к повышению локальных привилегий, и ZDI-CAN-34068 в графическом драйвере VMWGFX, связанная с записью за пределами буфера. Также выявлена уязвимость ZDI-CAN-34076 в коде NVMET, грозящая утечкой информации из-за использования неинициализированных ресурсов.
В списке также оказалась уязвимость ZDI-CAN-32005, представляющая собой переполнение стекового буфера при обработке TCP-запросов. Статус исправлений для каждой из найденных проблем различается, поэтому системы пока не защищены в полной мере. Причины случайной публикации конфиденциальных отчетов в открытом доступе на данный момент не установлены.
