Recientes revelaciones en listas de correo públicas han expuesto dos vulnerabilidades críticas de ejecución remota de código (RCE) con una puntuación CVSS de 9.0 en KSMBD, el servidor SMB (Server Message Block) integrado en el kernel de Linux. Estas fallas, identificadas por Trend Micro’s Zero Day Initiative (ZDI), no cuentan con un parche oficial disponible en el kernel principal, dejando expuestos a los servidores que utilizan este componente. La ejecución remota de código (RCE) permite a un atacante ejecutar comandos arbitrarios en un sistema vulnerable, lo que podría conducir a un control total sobre el mismo.
Una de las vulnerabilidades, ZDI-CAN-33774, es particularmente grave, ya que puede ser explotada sin necesidad de autenticación de red. Afecta a cualquier servidor que ejecute KSMBD en el puerto 445. Esta falla se debe a una condición de carrera (race condition) en la forma en que KSMBD asigna su tabla de manejadores: una ráfaga de paquetes SMB1 cortos seguida de un paquete SMB2 en la misma escritura TCP puede causar que los trabajadores procesen datos SMB1 con un manejador SMB2, leyendo más allá del final del búfer más corto y abriendo una puerta a la escritura de datos maliciosos.
La segunda vulnerabilidad, ZDI-CAN-33549, es un desbordamiento por subflujo de enteros (integer underflow) en la ruta SMB Direct de KSMBD. Requiere que el servidor tenga una interfaz de red compatible con RDMA (Acceso Directo a Memoria Remota), un recurso compartido KSMBD grabable y que el cliente negocie SMB Direct. Esta condición permite a un cliente manipular descriptores de búfer RDMA, haciendo que el contador de tamaño del servidor se desborde y permitiendo una copia de memoria que sobrepasa el final de un búfer asignado, lo que puede resultar en RCE. Los administradores pueden verificar si KSMBD está activo mediante los comandos systemctl status ksmbd o lsmod | grep ksmbd. Cabe destacar que distribuciones como Red Hat Enterprise Linux no incluyen KSMBD por defecto.
Actualmente, no existe un parche oficial para estas vulnerabilidades en el kernel de Linux ni en las ramas de desarrollo. Los arreglos en el kernel principal suelen tardar semanas en llegar a las ramas estables y, posteriormente, a los kernels de las distribuciones. Dada la ausencia de parches, las mitigaciones se centran en reducir la superficie de ataque. Si KSMBD no es estrictamente necesario, se recomienda deshabilitarlo o desinstalarlo. Para los entornos donde su uso es imprescindible, se deben implementar controles estrictos de acceso a la red y segmentación para limitar la exposición.
Qué significa para tu empresa: Estas vulnerabilidades de RCE son una amenaza crítica que subraya la importancia de una postura de seguridad proactiva. Para mitigar riesgos como estos zero-days sin parche, es fundamental contar con un SOC con monitoreo 24/7 que pueda detectar actividades anómalas e indicadores de compromiso en tiempo real, incluso antes de que los parches estén disponibles. La visibilidad constante sobre los sistemas es clave para reaccionar rápidamente y prevenir ataques exitosos.
Fuente original: The Hacker News — ver artículo →