La Zero Day Initiative (ZDI), de Trend Micro, envió al menos cinco reportes de vulnerabilidades del kernel Linux a la lista pública linux-kernel en lugar del canal privado de seguridad.
Dos tienen CVSS 9.0 y permiten ejecución remota de código. Ninguno tenía parche en la rama principal cuando se publicaron los detalles.
El error dejó los reportes técnicos al alcance de cualquiera entre el 21 y el 22 de octubre. Para un administrador, eso significa menos tiempo para actualizar. Para un atacante, material gratis para estudiar el fallo antes de que exista una corrección.
Las vulnerabilidades de Linux que se publicaron
| ID | Componente | Impacto | CVSS |
|---|---|---|---|
| ZDI-CAN-33549 | SMB Direct / KSMBD | Ejecución remota por integer underflow | 9.0 |
| ZDI-CAN-33774 | KSMBD | Ejecución remota por race condition | 9.0 |
| ZDI-CAN-33367 | skb_zerocopy (red) | Escalada local de privilegios | 7.8 |
| ZDI-CAN-34068 | vmwgfx (VMware) | Escalada local por out-of-bounds write | 8.8 |
| ZDI-CAN-34076 | nvmet (NVMe-oF) | Fuga de información | 8.6 |
Los puntajes son los que ZDI mantiene en su tabla de avisos pendientes. Los dos casos de SMB son los más graves: uno es un integer underflow en SMB Direct y el otro una race condition en KSMBD, el servidor SMB que corre dentro del kernel.
El error de proceso
Los primeros mensajes llegaron a LKML el 21 de octubre entre las 21:16 y las 21:46 UTC. Greg Kroah-Hartman, mantenedor del kernel, respondió a los hilos. En uno de ellos preguntó por qué otra vez había un reporte sin parche en una lista pública y pidió corregir el proceso de envío.
ZDI da 120 días a los fabricantes antes de publicar un aviso limitado. En su tabla, los casos de Linux tienen fecha límite del 18 de febrero de 2027. La divulgación anticipada rompe ese calendario por el lado menos conveniente: los detalles ya son públicos, pero las correcciones todavía no.
No todos los Linux están expuestos
El riesgo depende de qué componentes tenga activo cada sistema. KSMBD solo existe si el servidor SMB del kernel está habilitado; vmwgfx afecta a máquinas virtuales VMware; nvmet a servidores NVMe-over-Fabrics; skb_zerocopy al procesamiento de paquetes de red. La presencia del código no convierte a cada instalación en vulnerable.
La exposición real cambia con la versión del kernel y con las funciones habilitadas. Un servidor sin KSMBD ni NVMe-oF no tiene por qué entrar en pánico, pero sí debe revisar qué corre.
Un sexto reporte que no era del kernel
Varios medios contaron seis vulnerabilidades del kernel. El sexto identificador que circuló, ZDI-CAN-32005, figura en la tabla de ZDI bajo ConnMan, el gestor de conexiones de Linux, no bajo el kernel. La lista se replicó sin revisar la columna del fabricante.
El detalle no es menor: si un equipo de seguridad prioriza parches por el conteo de medios, puede asignar recursos al componente equivocado.
Qué hacer mientras llega el parche
Algunos fallos ya tienen parches en ramas -next o en un branch preparado para Linux 7.5, pero la rama principal sigue pendiente. Mientras las distribuciones publican actualizaciones: revisa si usas KSMBD o nvmet y desactívalos si no los necesitas; mantén el kernel al día; y sigue los avisos de ZDI y los hilos de LKML.
Para quien administra servidores, la lección es la de siempre: la superficie de ataque se mide por componentes activos, no por titulares.
La pregunta de fondo es si el modelo de divulgar detalles antes del parche sigue siendo aceptable en un año en que la IA acelera el descubrimiento de fallos. Por ahora, la respuesta depende de cuánto tarde tu distribución en publicar el kernel actualizado.
Más en: Ciberseguridad
