İki CVSS 9.0 Linux KSMBD Uzaktan Kod Çalıştırma Açığı, Çekirdek Düzeltmelerinden Önce Genel Liste Yayınlarında Ortaya Çıkarıldı.

Gorsel Kaynagi: The Hacker News

Kernelsin yerleşik SMB sunucusu KSMBD’yi çalıştıran Linux sunucuları, Trend Micro’nun Zero Day Initiative tarafından 9.0 ile derecelendirilen ve henüz ana dallarda (mainline) kernel’da çözümü bulunmayan iki halka açık uzak kod çalıştırma açığına maruz kalıyor.

Bunlardan biri olan ZDI-CAN-33774, herhangi bir ağ kimlik doğrulamasından önce tetiklenebiliyor. Diğer ZDI-CAN-33549 ise SMB Direct iletimini ve RDMA kapasiteli bir ağ arayüzünü gerektiriyor.

ZDI-CAN-33549, KSMBD’nin SMB Direct yolundaki bir tamsayı aşımı (integer underflow). Bir istemci, ilk girdinin açıkça belirtilen veri yükünden uzun olduğu RDMA arabellek tanımlayıcıları sağlayabilir; bu da sunucunun boyut sayacının taşmasına ve ardından gelen bellek kopyalamasının ayrılmış bir arabelleğin sonunu aşmasına yol açar.

Bu açığın tetiklenmesi için üç şey gerekiyor: RDMA kapasiteli bir arayüz (donanım ya da rxe sürücüsü), yazılabilir bir KSMBD paylaşımı ve SMB Direct müzakere eden bir istemci.

ZDI-CAN-33774 için kimlik doğrulaması gerekmiyor; port 445 üzerinde KSMBD çalıştıran herhangi bir sunucuyu açığa çıkarıyor. Açık, KSMBD’nin işleyici tablosunu atadığı yöntemdeki bir yarış durumundan kaynaklanıyor: ardışık kısa SMB1 paketlerinin ardından aynı TCP yazımı içinde bir SMB2 paketi gönderilmesi, işçilerin SMB1 verisini SMB2 işleyicisiyle işlemesine ve daha kısa arabelleğin sonundan okumasına neden oluyor. Bir saldırganın bir paylaşıma erişimi sağlandıktan sonra arabelleğin sonunu aşan bir yazma yolu da mevcut.

Perşembe itibarıyla, bu açıkların ne ana dallarda (mainline) kernel’da ne de onu besleyen linux-next bütünleştirme ağacında adlandırılmış bir çözümü bulunuyor. Linux haber sitesi Phoronix, SMB Direct bakımcısı Stefan Metzmacher’in ZDI-CAN-33549 için bir sonraki kernel geliştirme döngüsünü hedefleyen bir çözüm sunduğunu aktardı, ancak bu başka bir yerde teyit edilmedi.

Ana dallardaki (mainline) çözümler genellikle kararlı dallara ve ardından dağıtım kernel’larına ulaşmak için haftalar alıyor. Çözüm, kernel projesinin bu kimlik numaralarını yalnızca kararlı ağaçta bir çözüm mevcut olduktan sonra ataması nedeniyle, bu açıkların bir CVE kimliği yok.

Modülün aktif olup olmadığını, systemctl status ksmbd veya lsmod | grep ksmbd komutlarıyla doğrulamak mümkün. Red Hat Enterprise Linux, Red Hat’in destek belgelerine göre KSMBD’yi varsayılan olarak içermiyor.

ZDI, buluşu TrendAI’nin (Trend Micro’nun yapay zekâ tarama aracının) yaptığını belirtiyor. Linux çekirdeğinin güvenlik belgeleri, Linus Torvalds’in yönlendirmesiyle Mayıs 2026’da güncellenerek, yapay zekâ araçları tarafından bulunan açıkların tanımdan itibaren zaten halka açık olduğunu ve alt sistem geliştirici listelerine gönderilmesi gerektiğini belirtiyor.

ZDI’nin yönlendirme yaklaşımı bu mantığı izlemiş gibi görünüyor; özel çekirdekle güvenlik adresinin yanı sıra halka açık posta listelerini de kopyalamış ancak raporların hiçbirine yama eklememiş.

Sabit çekirdek yöneticisi Greg Kroah-Hartman, beş çekirdek raporundan üçine birbirini takip eden dakikalar içinde yanıt verdi. VMware GPU sürücüsüne dair raporda şunu yazdı: “Bir sebeple bunu halka açık listelere göndermişsin ve yama eklememişsin, dolayısıyla bununla pek bir şey yapamayız.” NVMe sürücüsüne dair raporda, on yedi saniye sonra: “Yine, yama yok ve halka açık bir listeye gönderilmiş? Lütfen gönderim sürecini düzelt.”

Bekşir çekirdek raporundan üçü SMB ile ilgili değil. Araştırmacı p1r0x tarafından bulunan ZDI-CAN-33367, yerel erişim gerektiren çekirdeğin ağ yığınında bir yerel ayrıcalık yükseltme. ZDI-CAN-34068 VMware sanal GPU sürücüsünde bir yerel ayrıcalık yükseltme, ZDI-CAN-34076 ise NVMe hedef sürücüsünde bir bilgi ifşası ve ikisi de KSMBD sunucularını etkilemiyor.

Altıncı ZDI raporu ZDI-CAN-32005, Linux çekirdeğinden bağımsız bir ağ arka plan hizmeti olan ConnMan’de bir tampon aşırma hatasıdır.

Güncelleme: ZDI-CAN-33367 için Genel Patlatma Kodu Başlıca Dağıtımlarda Kök Erişimi Kazandı

ZDI-CAN-33367, beş çekirdek raporunun en düşük derecelendirileni ve kök erişimine yol açtığı gösterilen genel patlatma kodu içeren tek rapordur. AlmaLinux’a göre rapor, çalışan bir kavram kanıtının kaynak koduyla birlikte genel listelere gönderildi ve CloudLinux, bu kodu kullanarak AlmaLinux 8, 9 ve 10, CloudLinux 9 ve 10, Debian 12 ve 13 ile Ubuntu 24.04 ve 26.04’te kök erişimi sağladığını belirtti. CentOS 6 ve 7 çekirdekleri etkilenmiyor.

Hata, yalnızca okumaya izin verilen dosyaların (setuid programları veya /etc/passwd gibi) çekirdeğin bellekteki kopyasını değiştirmeye olanak tanıyan sıradan bir yerel kullanıcının makineyi ele almasına yeterli düzeyde etki eder. Çalışma nedeni, skb_zerocopy() fonksiyonunun, çekirdeğin IPsec kodunun paylaşımlı bellek sayfalarını yerinde şifresini çözmemesini söyleyen bir işaretçiyi kaldırmasıdır. Bu işaretci bu yılın Dirty Frag (CVE-2026-43284) düzeltmesiyle eklenmişti, dolayısıyla bu düzeltmeyi taşıyan çekirdekler hâlâ açık durumdadır, CloudLinux belirtti.

Patlatma kodu, sıradan bir hesabın kendi özel ağ kurulumunun yöneticisi gibi davranmasına olanak tanıyan ayrıcalıksız kullanıcı namespace’lerini ve etkilenmiş çekirdeklerin sağladığı bir dizi ağ modülünü gerektirir. AlmaLinux bu namespace’leri varsayılan olarak izin verir. Ubuntu’nun bu namespace’lere uyguladığı AppArmor kısıtlaması patlatma kodunu durduramadı, Sysdig bildirdi.

Zizhen Liu tarafından yazılan ve netdev yöneticisi Eric Dumazet tarafından gözden geçirilen üst düzey düzeltme 22 Ekim’de yayınlandı. CloudLinux’a göre 23 Ekim Cuma günü saat 14:59 UTC itibarıyla hâlâ birleştirilmemişti ve Sysdig, Cumartesi günü hâlâ birleştirilmemiş olduğunu ve altı raporun da CVE numarası olmadığını bildirdi. AlmaLinux, bir Red Hat güncellemesinden önce düzeltmeyi geriye dönük olarak uyguladı ve 23 Ekim Cuma günü yama çekirdeklerini AlmaLinux 8, 9 ve 10 için test deposuna yerleştirdi. CloudLinux, aynı gün CloudLinux 10 ve AlmaLinux 10 için yeniden başlatma gerektirmeyen KernelCan canlı yamasını yayınladı; CloudLinux 9 inceleme aşamasında ve CloudLinux 8 ise geliştirme aşamasındadır.

Düzeltme gelene kadar CloudLinux ve Sysdig, ayrıcalıksız kullanıcı alanlarına (user namespace) ihtiyaç duymayan sunucularda user.max_user_namespaces değerinin 0’a ayarlanmasını öneriyor. Ayar yeniden başlatmaya gerek kalmadan geçerli oluyor ancak sıradan hesaplar için rootsuz konteynerlerin, Flatpak’ın ve bazı tarayıcı kumbara ortamlarının çalışmasını engelliyor; CloudLinux, söz konusu ayarı sözkonusu açığı istismar etme testi açısından henüz uygulamadığını belirtti. sysctl user.max_user_namespaces komutu, yol kapatıldığında 0 değeri yazdırır. AlmaLinux, IPsec kullanmayan sistemlerde geçici bir önlem olarak esp4 ve esp6 kernel modüllerinin engellenmesini öneriyor. Sysdig, Cumartesi günü doğada (wild) bir istismar bildirilmediğini söyledi.

Güncelleme: Bakımcılar Her İki KSMBD Açığı için Mevcut Düzeltmelere İşaret Ediyor

KSMBD bakımcısı Namjae Jeon, ZDI-CAN-33774 konu başlığında yarışmanın 68f410faedaf numaralı commit ile zaten düzeltildiğini belirtti; bu commit’i 30 Eylül’de yazdığını ve farklı bir bildirimcide kaydedildiğini söyledi. Commit, kendi ksmbd-for-next dalında yer alıyor ve Sysdig’in bildirdiğine göre Cumartesi itibarıyla yayınlanmış bir kernel’e ulaşmamıştı. ZDI-CAN-33549 için ise Metzmacher, 21 Ekim’de bildirimciye Linux 7.5 için dalını test etmesini istedi ve açığın orada zaten düzeltildiğine inandığını söyledi. Bu durum Cumartesi itibarıyla doğrulanmamıştı.

Her iki KSMBD açığı için halka açık kanıt-örnek kodunun, CloudLinux ve Sysdig’e göre kernel belleği sızdırması ve çökertmesi, kod yürütmesi değil, ortaya koyduğu belirtiliyor. ZDI-CAN-33774 kodu, kimlik doğrulaması öncesinde her denemede 28 bayt kernel yığın belleği sızdırabiliyor ve kernel’i çökertebiliyor. ZDI’nin raporu ayrıca tamponun ötesine yazma yolu tarif etsede, Sysdig’e göre halka açık hiçbir şey bunun kod yürütmesine yol açtığını göstermiyor. KSMBD, AlmaLinux ve CloudLinux 9 ve 10 kernel’larına gömülü değil; Debian ve Ubuntu’da ise yalnızca bir yönetici ksmbd-tools’u kurup hizmeti başlattıktan sonra çalışıyor, CloudLinux belirtti.

(Haber, 26 Ekim 2026 tarihinde yayımlandıktan sonra güncellenerek ZDI-CAN-33367 için halka açık istismar ve her iki KSMBD açığı için bakımcıların düzeltme durumu eklendi.)