El kernel Linux tiene hoy dos fallas de ejecución remota con detalles públicos y ningún patch disponible. La peor parte: una de ellas ni exige contraseña.
El caso es del ksmbd, el servidor SMB embutido en el propio kernel, la pieza que hace un servidor Linux hablar el protocolo de archivos de Windows. ZDI, el programa de pesquisa de Trend Micro, clasificó las dos con nota 9.0.
Las dos fallas
La primera, ZDI-CAN-33774, es una carrera en el despacho de protocolo que corre sin autenticación: una ráfaga de paquetes SMB1 seguida de un paquete SMB2 en la misma conexión hace que el worker procese datos de uno con el handler del otro, leyendo más allá del fin del buffer. La segunda, ZDI-CAN-33549, es un subflujo de entero en el camino SMB Direct, y pide tres cosas: interfaz con RDMA, compartimiento grabable y un cliente negociando SMB Direct.
El estado de la corrección es lo que asusta
Ninguna de las dos tiene corrección nombrada en el kernel principal ni en el árbol de integración, y el proyecto del kernel solo atribuye identificador CVE después de que la corrección llega al árbol estable, lo que significa que hoy esas fallas no tienen CVE, solo detalles públicos. El mantenedor del camino SMB Direct envió corrección para uno de los casos mirando el próximo ciclo de desarrollo, según la cobertura técnica, y todavía lleva semanas hasta que la corrección baje a las distribuciones.
La historia detrás de la divulgación
Los relatórios salieron de TrendAI, el scanner de IA de la propia Trend Micro, y fueron copiados para las listas públicas del kernel junto con el canal privado, sin patch ninguno anexado.
La documentación de seguridad del kernel, actualizada en mayo bajo orientación de Linus Torvalds, dice que bug encontrado por IA es, por definición, bug ya público. El mantenedor del kernel estable respondió que, sin patch y en lista pública, no había mucho que hacer, y pidió que el proceso de submisión fuera corregido.
Qué hacer, en dos comandos
Para quien opera, la conferencia es de dos comandos: systemctl status ksmbd y lsmod | grep ksmbd confirman si el módulo está activo. Red Hat Enterprise Linux no trae ksmbd por defecto, y servidor que no necesita SMB en el kernel resuelve el riesgo apagando el módulo y cerrando el puerto 445. Quien necesita el servicio mantiene la superficie detrás de firewall y acompaña el árbol estable.
Es el mismo diseño de respuesta del RCE en el kernel Windows vía SMB/RDP: patch cuando existe, y mientras no existe, superficie mínima y segmentación. Y es la misma semana del PHP2Shell: el mes produjo dos casos mayores nacidos del mismo vacío, la ventana entre el detalle público y la corrección disponible.
En Tech86, gobernanza de superficie de kernel es proyecto: inventariar qué corre, qué expone puerto y qué apagar hasta que la corrección baje a la distribución.
Conclusión
La ventana entre detalles públicos y corrección disponible es el único período que el atacante necesita. Del PHP al kernel, los dos casos mayores del mes nacieron del mismo vacío, y la regla nueva que trataba hallazgo de IA como cosa pública abrió ese vacío por escrito. El inventario de superficie es lo que cierra la diferencia mientras el patch no llega.