Une faille KSMBD critique (CVSS 9.0) menace les serveurs Linux : deux failles d'exécution de code sans correctif dans le noyau.

Une nouvelle faille KSMBD inquiète les administrateurs Linux. En effet, deux vulnérabilités d’exécution de code à distance (RCE) touchent le serveur SMB intégré au noyau. La Zero Day Initiative de Trend Micro leur attribue à chacune un score de 9.0. Pourtant, à ce jour, aucun correctif n’a été intégré au noyau principal.

Autre point notable : ces défauts ont été signalés publiquement sur des listes de diffusion avant que les correctifs n’existent. Par conséquent, les détails circulent déjà. Pendant ce temps, les systèmes restent exposés.

Que sait-on de la faille KSMBD ?

KSMBD est un serveur SMB qui fonctionne directement dans le noyau Linux. Il permet ainsi de partager des fichiers sur le réseau avec le protocole SMB. Il s’agit d’une alternative intégrée à Samba. Samba, en revanche, tourne dans l’espace utilisateur.

Les deux problèmes sont suivis par la Zero Day Initiative sous des identifiants provisoires. Il s’agit de ZDI-CAN-33774 et de ZDI-CAN-33549. Ce sont des numéros de suivi, et non des identifiants CVE. D’ailleurs, les informations disponibles n’en mentionnent aucun pour le moment.

Chacune de ces vulnérabilités reçoit une note de 9.0 sur l’échelle CVSS. Cette note les place donc dans la catégorie critique. Elle traduit en effet un risque élevé de compromission complète du système visé.

Deux scénarios d’attaque très différents

ZDI-CAN-33774 : un risque avant toute authentification

La première faille est la plus préoccupante. En effet, elle peut être déclenchée avant toute authentification réseau. Autrement dit, un attaquant n’a pas besoin d’identifiants valides pour agir.

Il lui suffit d’atteindre le service. Un serveur KSMBD joignable depuis un réseau non fiable présente donc un risque immédiat. C’est encore plus vrai si le service est exposé à Internet.

ZDI-CAN-33549 : des conditions plus restrictives

La seconde faille demande davantage de prérequis. D’abord, elle nécessite le transport SMB Direct. De plus, elle exige un réseau compatible RDMA.

SMB Direct s’appuie sur l’accès direct à la mémoire à distance pour accélérer les échanges. Cette configuration reste moins courante que le SMB classique. Cependant, les environnements qui l’utilisent doivent rester vigilants. C’est le cas, par exemple, de certaines infrastructures de stockage à haute performance.

Pourquoi cette faille KSMBD est sérieuse

Plusieurs éléments aggravent la situation. D’abord, KSMBD s’exécute dans le noyau. Une vulnérabilité exploitable à cet endroit peut donner un contrôle très étendu sur la machine. En effet, un code exécuté à ce niveau dispose de privilèges considérables.

Ensuite, la divulgation publique précède les correctifs. Les défenseurs n’ont donc pas encore de mise à jour officielle à déployer dans le noyau principal. Pendant ce temps, des acteurs malveillants peuvent étudier les informations disponibles. Toutefois, les éléments fournis ne signalent aucune exploitation active.

Enfin, les serveurs de fichiers sont des cibles de choix. Ils hébergent souvent des données sensibles. Ils servent également de point d’appui pour se déplacer latéralement dans un réseau. Une compromission peut ainsi dépasser largement la seule machine touchée.

Comment réduire l’exposition en attendant un correctif

Faute de correctif dans le noyau principal, il faut agir sur la configuration. Voici donc des mesures de prudence générales. Toutefois, elles ne remplacent pas une mise à jour officielle.

• Inventorier les serveurs concernés : identifiez d’abord les machines où le module KSMBD est chargé ou le service actif.
• Désactiver KSMBD si ce n’est pas indispensable : arrêtez le service, puis empêchez le chargement du module.
• Restreindre l’accès réseau : limitez ainsi le port SMB (445) aux seules adresses de confiance avec un pare-feu.
• Ne jamais exposer SMB sur Internet : placez le partage derrière un VPN ou un segment interne isolé.
• Évaluer l’usage de SMB Direct : si votre réseau utilise RDMA, vérifiez donc si cette fonction est réellement nécessaire.
• Envisager une alternative : par exemple, un serveur Samba en espace utilisateur limite l’impact d’un défaut, car il ne s’exécute pas dans le noyau.

Par ailleurs, surveillez les journaux et le trafic SMB. Des connexions inhabituelles ou des plantages du noyau doivent ainsi déclencher une enquête. Suivez aussi les annonces des mainteneurs du noyau et de votre distribution. En effet, les correctifs seront probablement rétroportés dès qu’ils existeront.

Ce qu’il faut retenir

• Deux failles d’exécution de code à distance touchent KSMBD, le serveur SMB intégré au noyau Linux.
• La Zero Day Initiative de Trend Micro les note 9.0 : ZDI-CAN-33774 et ZDI-CAN-33549.
• D’abord, la première peut être déclenchée avant toute authentification réseau.
• Ensuite, la seconde requiert SMB Direct et un réseau compatible RDMA.
• Pourtant, aucun correctif n’est disponible dans le noyau principal, alors que les failles ont été rendues publiques.
• Par conséquent, désactivez KSMBD si possible et filtrez strictement l’accès au service SMB.

Source : Two CVSS 9.0 Linux KSMBD RCE Flaws Disclosed on Public Mailing Lists Before Kernel Fixes