Linux KSMBD: Zwei kritische RCE-Lücken öffentlich, noch ohne Kernel-Fix
Zwei von Trend Micros ZDI mit CVSS 9.0 bewertete Lücken im Kernel-SMB-Server KSMBD sind auf öffentlichen Mailinglisten gelandet, bevor Fixes in Mainline waren. Betroffen ist nur, wer das Modul ksmbd aktiv nutzt. Admins sollten es entladen oder Port 445 abschotten.
Im KSMBD, dem SMB-Server im Linux-Kernel, sind zwei Lücken zur Codeausführung aus der Ferne öffentlich geworden, bevor Korrekturen im Mainline-Kernel angekommen sind. Trend Micros Zero Day Initiative (ZDI) bewertet beide mit CVSS 9.0. Die gefährlichere, ZDI-CAN-33774, lässt sich ohne Anmeldung über Port 445 auslösen. Die zweite, ZDI-CAN-33549, betrifft nur Server mit SMB Direct über RDMA.
Betroffen ist ausschließlich, wer das Kernelmodul ksmbd aktiv als Dateiserver nutzt. Klassische Samba-Installationen arbeiten im Userspace und sind von diesen beiden Lücken nicht betroffen, ebenso Red Hat Enterprise Linux, das KSMBD laut Red Hat gar nicht ausliefert. Wer ksmbd einsetzt, sollte heute prüfen und das Modul bis zu einem Kernel-Update abschalten oder Port 445 strikt abschotten, denn ein Patch-Termin für Distributionskernel steht noch nicht fest. Hintergrund zu KSMBD liefert unser Bericht zum Release von Linux 7.3.
Was ist passiert?
ZDI hat am 21. Oktober 2026 mehrere Linux-Schwachstellen in seine Liste anstehender Advisories aufgenommen, darunter ZDI-CAN-33774 und ZDI-CAN-33549, beide mit CVSS 9.0. Die Berichte gingen nicht nur an die vertrauliche Kernel-Sicherheitsadresse, sondern auch an öffentliche Mailinglisten, und zwar ohne Patches. Stable-Maintainer Greg Kroah-Hartman reagierte entsprechend verärgert und bat ZDI, den Meldeprozess zu korrigieren. Als Finder nennen die Berichte laut The Hacker News TrendAI, den KI-Scanner von Trend Micro.
Technisch handelt es sich bei ZDI-CAN-33774 laut The Hacker News um eine Race Condition bei der Zuordnung der Handler-Tabelle: Eine Folge kurzer SMB1-Pakete mit einem anschließenden SMB2-Paket im selben TCP-Schreibvorgang führt dazu, dass SMB1-Daten mit einem SMB2-Handler verarbeitet werden und über das Pufferende gelesen wird. Mit Zugriff auf eine Freigabe ist auch ein Schreiben über das Pufferende möglich. ZDI-CAN-33549 ist ein Integer-Unterlauf im SMB-Direct-Pfad, der einen Speicherüberlauf beim Kopieren erlaubt.
Wer ist betroffen?
ZDI-CAN-33774 betrifft jeden Server, auf dem KSMBD läuft und Port 445 erreichbar ist. Für ZDI-CAN-33549 braucht es drei Voraussetzungen: eine RDMA-fähige Netzwerkschnittstelle (Hardware oder den Softwaretreiber rxe), eine beschreibbare KSMBD-Freigabe und einen Client, der SMB Direct aushandelt.
Nicht betroffen sind Systeme, die Samba (smbd) als Dateiserver einsetzen, ohne ksmbd zu laden, sowie Red-Hat-Produkte einschließlich RHEL und OpenShift. Ob ksmbd aktiv ist, zeigen lsmod | grep ksmbd und systemctl status ksmbd. Ob der Kernel KSMBD überhaupt enthält, verrät grep SMB_SERVER /boot/config-$(uname -r).
Wie kritisch ist das?
Für ksmbd-Nutzer sehr kritisch. ZDI-CAN-33774 ist eine Lücke vor der Authentifizierung, die Details liegen öffentlich vor, und ein Fix fehlt bislang. Laut The Hacker News hatte am 22. Oktober keine der beiden Lücken einen benannten Fix in Mainline oder linux-next, CVE-Nummern gibt es noch nicht, weil der Kernel sie erst nach einem Stable-Fix vergibt. Phoronix berichtet, dass für ZDI-CAN-33549 ein Patch in einem Entwicklungszweig für Linux 7.5 liegt, der nun beschleunigt werden dürfte. Im GitHub-Spiegel des Mainline-Kernels fand sich bei unserer Prüfung am 23. Oktober kein KSMBD-Commit, der diese Lücken behebt. Bis Distributionskernel einen Fix ausliefern, vergehen erfahrungsgemäß Wochen. Aktive Angriffe sind nicht bekannt.
Was sollten Admins jetzt tun?
- Inventar prüfen: Auf allen Linux-Servern und NAS-Systemen mit
lsmod | grep ksmbdundsystemctl status ksmbdfeststellen, ob das Modul geladen ist. - Wo ksmbd nicht gebraucht wird: Dienst stoppen, Modul mit
modprobe -r ksmbdentladen und per Blacklist-Eintrag in/etc/modprobe.d/dauerhaft sperren. - Wo ksmbd nötig ist: Port 445 per Firewall auf vertrauenswürdige Netze beschränken und niemals ins Internet freigeben.
- SMB Direct deaktivieren, sofern RDMA nicht zwingend gebraucht wird.
- Als Alternative einen Umstieg auf Samba im Userspace prüfen.
- Kernel-Updates der eigenen Distribution beobachten und nach Erscheinen eines Fixes zügig einspielen.
Einordnung für Unternehmen
KSMBD ist in den meisten Unternehmensnetzen eine Ausnahme, Samba bleibt der Standard. Relevant ist die Meldung vor allem für schlanke Dateiserver, Appliances und Eigenbauten, die bewusst auf den Kernel-Server setzen. Für sie ist die Lage unangenehm, weil Details öffentlich sind, bevor ein Patch existiert. Der Fall zeigt zudem, wie stark KI-gestützte Fehlersuche den Druck auf Kernel-Maintainer erhöht.
Passende Anleitungen auf S-EDV
- Samba-Fileserver als Active-Directory-Mitglied einrichten: Dateiserver im Userspace als Alternative zu KSMBD.
- Linux-Server mit ufw und fail2ban absichern: Port 445 auf vertrauenswürdige Netze beschränken.
