Contexte et découverte

Le Zero Day Initiative (ZDI) de Trend Micro a transmis, par inadvertance, cinq rapports de vulnérabilités au Linux Kernel Mailing List (LKML) au lieu du canal privé habituel. Greg Kroah‑Hartman, second du projet Linux, a immédiatement réagi à chaque message, demandant la raison de cette diffusion publique. La fuite concerne des failles notées CVSS 9.0, ce qui indique un risque élevé dès la première exposition.

Vulnérabilités détaillées

Les rapports identifiés sont : ZDI‑CAN‑33549 (integer underflow dans SMB Direct, exécution de code à distance), ZDI‑CAN‑33774 (condition de course dans KSMBD, exécution de code à distance), ZDI‑CAN‑33367 (skbuff skb_zerocopy, élévation de privilèges locale), ZDI‑CAN‑34068 (VMWGFX, écriture hors limites, élévation de privilèges locale), ZDI‑CAN‑34076 (ressource non initialisée dans NVMET, fuite d’informations) et ZDI‑CAN‑32005 (débordement de tampon dans la pile de requêtes TCP, élévation de privilèges locale). Pour la faille SMB Direct, un correctif existe déjà dans une branche Git ciblant Linux 7.5 et devrait être accéléré vers le tronc principal. Le problème skbuff a déjà fait l’objet d’un rapport antérieur, le correctif est attendu sous peu. Les autres correctifs sont en cours de rédaction ou d’intégration.

Implications sécuritaires et réponses

La publication prématurée expose les systèmes non patchés à des attaques automatisées, notamment sur les services réseau (SMB, KSMBD, TCP) et les pilotes graphiques (VMWGFX). La gravité CVSS 9.0 implique un vecteur d’attaque exploitable à distance ou localement, selon la vulnérabilité. Les administrateurs doivent donc appliquer les correctifs dès leur disponibilité, surveiller les versions du noyau (notamment les branches 7.5 et suivantes) et envisager des mitigations temporaires comme la désactivation des services concernés. L’incident souligne également la dépendance du projet Linux à des processus de divulgation stricts ; une erreur de routage de mail peut compromettre la confidentialité des recherches de sécurité. Enfin, l’absence de détails techniques (exemple de code exploitable, PoC) dans les rapports publics limite l’évaluation précise du risque, mais la notation CVSS élevée justifie une réaction immédiate.