Eigentlich läuft Responsible Disclosure so: Erst der Fix, dann die Details. Diesmal war es anders. Die Zero Day Initiative (ZDI) hat zwei Fehler im SMB-Server des Linux-Kernels gemeldet — und dabei öffentliche Mailinglisten in Kopie gesetzt, ohne Patch. Das berichtet The Hacker News am 22. Oktober 2026.
WAS IST KSMBD?
KSMBD ist der in den Linux-Kernel eingebaute SMB-Server. Er teilt Ordner im Netzwerk, ähnlich wie Samba, läuft aber im Kernel statt im Userspace. Weil er direkt im Kernel sitzt, können Fehler dort schwerer wiegen als bei einem normalen Dienst.
DIE BEIDEN LÜCKEN
Beide Fehler bewertet ZDI mit CVSS 9,0. Gefunden hat sie laut Bericht der KI-Scanner TrendAI von Trend Micro.
- ZDI-CAN-33774 — ein Wettlauf bei der Zuordnung der Handler-Tabelle. SMB1-Daten landen dadurch bei einem SMB2-Handler, der über das Pufferende hinaus liest. Es braucht keine Anmeldung; betroffen ist jeder KSMBD-Server auf Port 445. Nach Zugriff auf eine Freigabe soll auch ein Schreibzugriff über den Puffer hinaus möglich sein.
- ZDI-CAN-33549 — ein Integer-Underflow im SMB-Direct-Pfad. Er führt zu einem Pufferüberlauf. Voraussetzung sind SMB Direct, eine RDMA-fähige Schnittstelle (Hardware oder der Software-Treiber rxe) und eine beschreibbare Freigabe.
CVE-Nummern gibt es noch nicht. Das Kernel-Projekt vergibt sie erst, wenn ein Fix im Stable-Zweig liegt. Welche Kernel-Versionen betroffen sind, nennt der Bericht nicht.
WARUM DER STREIT?
ZDI hat die Meldungen an die private Kernel-Security-Adresse und an öffentliche Mailinglisten geschickt, ohne Patches. Stable-Maintainer Greg Kroah-Hartman hat dieses Vorgehen kritisiert. Für Betroffene bedeutet es: Die Fehlerbeschreibung ist öffentlich, die Reparatur ist es nicht.
WIE ES MIT DEM FIX AUSSIEHT
- Für ZDI-CAN-33549 hat laut Phoronix SMB-Direct-Maintainer Stefan Metzmacher einen Fix für den nächsten Entwicklungszyklus eingereicht. Der Bericht bestätigt das nicht an anderer Stelle.
- Für ZDI-CAN-33774 ist kein Fix bekannt.
- Bis Fixes in Stable-Zweigen und Distributions-Kernels ankommen, vergehen typischerweise Wochen.
Einen veröffentlichten funktionierenden Exploit nennt der Bericht nicht. Das ist beruhigend, aber kein Dauerzustand: Eine öffentliche Beschreibung ist ein Fahrplan für Nachbauten.
SO PRÜFST DU DEINE SYSTEME
- Läuft KSMBD?
systemctl status ksmbdoderlsmod | grep ksmbdzeigt es dir. - Port 445 prüfen: Er gehört nicht ins offene Internet. Auf Firewall und Router kontrollieren.
- Samba statt KSMBD? Wenn du Samba nutzt, ist diese Meldung nicht dein Thema. Viele Heim-NAS setzen darauf.
- Updates im Auge behalten: Sobald dein Distributions-Kernel einen Fix bekommt, einspielen.
Einen offiziellen Workaround nennt der Bericht nicht. Wenn du KSMBD nicht brauchst, ist das Deaktivieren die naheliegende Vorsichtsmaßnahme. Das ist eine eigene Schlussfolgerung, keine Empfehlung der Entwickler.
FAZIT: Erst prüfen, dann entspannen
Die meisten Homelabs nutzen Samba und sind nicht betroffen. Wer aber KSMBD wegen der besseren Performance aktiviert hat, sollte heute noch nachsehen und den Dienst nur im vertrauenswürdigen LAN erreichbar halten.