Разработчики, участвующие в программе Zero Day Initiative по поиску уязвимостей, отправили список незакрытых «дыр» в ядре Linux не на защищённый адрес, а в публичную рассылку LKML, и данные сразу стали доступны всем, включая вероятных киберпреступников.
Утечка содержит сведения как минимум о шести уязвимостях с критическим уровнем опасности — CVSS 9.0 и выше. Самая опасная — ZDI-CAN-33774 в модуле KSMBD, встроенном в ядро SMB-сервере: она позволяет удалённо запускать любой код на компьютере жертвы.
Ещё одна брешь ZDI-CAN-33549 связана с удалённым выполнением кода через SMB Direct из-за переполнения целочисленного типа, патч для неё есть в ветке Git для Linux версии 7.5, но, предположительно, его внедрение в основную ветку ускорят. Уязвимость ZDI-CAN-33367 в функции skbuff skb_zerocopy и ошибка ZDI-CAN-34068 в драйвере VMware VMWGFX позволяют локально повысить права доступа. Идентификаторы CVE пока не присвоены ни одной из брешей.
Заместитель Линуса Торвальдса Грег Кроа-Хартман потребовал, чтобы авторы письма исправили процессы отправки отчётов и больше не рассылали данные о неустранённых уязвимостях на публичные адреса. По правилам сообщества Linux такие сведения раскрывают только после выхода патча в стабильной версии ядра.
В зоне риска — NAS-серверы, домашние серверы и устройства, выбравшие KSMBD ради скорости, если порт 445 доступен из недоверенной сети. Обычные ПК и ноутбуки под Linux в большинстве дистрибутивов защищены, поскольку KSMBD там не установлен по умолчанию. Временное решение — выгрузить модуль или заблокировать SMB через брандмауэр до выпуска исправленного ядра.