Six failles du noyau Linux divulguées sur des listes publiques par la ZDI

La Zero Day Initiative (ZDI) de Trend Micro a envoyé six rapports de vulnérabilités du noyau Linux les 21 et 22 octobre 2026. Ils visaient la liste de sécurité privée du noyau, mais les listes publiques linux-kernel, linux-cifs, netdev et dri-devel étaient en copie — rendant les détails accessibles à tous, sans correctif disponible. Les rapports sont archivés sur lore.kernel.org ; Next a détaillé l'affaire. Aucune CVE n'est encore attribuée ; les failles portent pour l'instant leurs identifiants internes ZDI-CAN.

Les failles

Identifiants et scores tels que rapportés (pas encore de CVE) :

• ZDI-CAN-33774 — ksmbd (serveur SMB en espace noyau) : situation de compétition menant à une écriture hors limites. CVSS 9.
• ZDI-CAN-33549 — ksmbd, chemin SMB Direct : dépassement d'entier par le bas et débordement de copie mémoire. CVSS 9.
• ZDI-CAN-33367 — skb_zerocopy (réseau) : élévation locale de privilèges.
• ZDI-CAN-34068 — vmwgfx (pilote GPU VMware) : élévation locale de privilèges.
• ZDI-CAN-34076 — nvmet (pilote NVMe) : divulgation d'informations.
• ZDI-CAN-32005 — ConnMan : dépassement de pile (sans score CVSS).

Les trois failles d'élévation locale sont annoncées dans une plage de 7,8 à 8,8.

Quelles configurations sont exposées

Le danger est réel mais borné à des configurations précises :

• ZDI-CAN-33774 s'exploite via un accès à un partage ksmbd, sans autorisation particulière — c'est la plus large.
• ZDI-CAN-33549 exige une interface compatible RDMA (matérielle ou via le pilote logiciel rxe), un partage ksmbd accessible en écriture et un client négociant SMB Direct. Cette option est désactivée par défaut.

La plupart des systèmes n'exposent pas ksmbd sur le réseau : c'est le serveur SMB intégré au noyau, distinct de Samba en espace utilisateur.

Pas de correctif, divulgation contestée

Aucun correctif n'est attendu avant plusieurs semaines. Le caractère « accidentel » fait débat : Greg Kroah-Hartman a exprimé son agacement, pointant notamment l'absence de patch. D'autres soulignent que la documentation du noyau — réécrite pour Linux 7.1 — impose désormais de traiter les failles trouvées par IA comme publiques et de les envoyer aux mainteneurs, ce qui plaiderait pour une publication conforme aux règles plutôt qu'une bourde. Les rapports seraient issus de TrendAI, le scanner de vulnérabilités de Trend Micro. L'éditeur n'avait pas répondu au moment de la publication.

Que faire

1. Vérifiez si ksmbd est activé et exposé. S'il n'est pas utilisé, déchargez le module (modprobe -r ksmbd) et empêchez son chargement. C'est la mitigation la plus directe pour les deux failles CVSS 9.
2. Désactivez SMB Direct / RDMA côté ksmbd si vous ne vous en servez pas (c'est déjà le défaut).
3. Surveillez l'attribution des CVE sur les listes noyau et chez votre distribution : les correctifs et les CVE suivront, à intégrer dès leur sortie.
4. Restreignez l'accès réseau aux partages ksmbd aux seuls clients de confiance en attendant.

Contexte

C'est la deuxième fois ce trimestre que des scanners pilotés par IA inondent le processus de divulgation du noyau de rapports bruts, sans analyse d'impact ni correctif. Le fond du problème n'est pas la faille — borné à ksmbd, le risque reste contenu — mais le débit : des découvertes automatisées versées sur des listes publiques plus vite que les mainteneurs ne peuvent les corriger. La règle de divulgation pour les trouvailles d'IA, pensée pour désengorger la liste privée, a ici l'effet inverse. À suivre : l'attribution des CVE et le calendrier de patch des distributions.