Zwei kritische Sicherheitslücken in Linux-KSMBD vor offiziellem Patch enthüllt

Security · 22.10.2026

In dem Linux-Kernel-Modul KSMBD wurden zwei kritische Sicherheitslücken mit einem CVSS-Wert von 9,0 veröffentlicht, für die derzeit noch kein offizieller Kernel-Patch bereitsteht.

In dem Linux-Kernel-Modul KSMBD, das als performanter, direkt im Kernel integrierter SMB-Server dient, wurden zwei kritische Schwachstellen mit einem CVSS-Score von 9,0 öffentlich bekannt gegeben. Die Sicherheitslücken wurden auf öffentlichen Mailinglisten diskutiert, bevor ein entsprechender Fix in den offiziellen Hauptzweig des Linux-Kernels (Mainline) integriert werden konnte. Besonders brisant ist, dass sich eine der Lücken (ZDI-CAN-33774) ohne vorherige Authentifizierung über das Netzwerk ausnutzen lässt, was Angreifern die Ausführung von beliebigem Code mit Kernel-Rechten ermöglicht.

Warum ist das wichtig?

Für Unternehmen und IT-Verantwortliche im DACH-Raum stellt dies ein erhebliches Risiko dar, sofern sie auf Linux-basierte Fileserver setzen, die KSMBD anstelle des klassischen Userspace-Dienstes Samba nutzen. Da KSMBD direkt im Kernel-Space ausgeführt wird, führt eine erfolgreiche Kompromittierung in der Regel zur vollständigen Kontrolle über das betroffene System. Viele moderne NAS-Systeme und spezialisierte Linux-Distributionen nutzen KSMBD aufgrund der deutlich höheren Performance bei der Datenübertragung. Da noch kein offizieller Kernel-Patch im Mainline-Zweig verfügbar ist, sind exponierte Systeme bis auf Weiteres ungeschützt.

Was Nutzer jetzt tun sollten

Administratoren sollten unverzüglich prüfen, ob auf ihren Linux-Systemen das Kernel-Modul KSMBD aktiv ist. Da das klassische Samba-Modul von diesen spezifischen Schwachstellen nicht betroffen ist, empfiehlt sich als sofortige Gegenmaßnahme der temporäre Wechsel auf Samba oder das Deaktivieren des KSMBD-Dienstes, bis ein verifizierter Kernel-Patch bereitsteht.

• Dienst deaktivieren: Beenden und entladen Sie das Modul mit dem Befehl 'modprobe -r ksmbd', sofern dies die Betriebsabläufe zulässt.
• Netzwerkzugriff einschränken: Blockieren Sie Port 445 (SMB) an den Netzwerkgrenzen und erlauben Sie den Zugriff nur für vertrauenswürdige IP-Adressen oder über ein sicheres VPN.
• Updates überwachen: Verfolgen Sie die Sicherheitsankündigungen Ihrer jeweiligen Linux-Distribution, da diese oft Backports für Sicherheitsfixes bereitstellen, noch bevor der Mainline-Kernel aktualisiert wird.

Fazit

Die Offenlegung dieser Zero-Day-Lücken zeigt erneut die Risiken von Kernel-nahen Implementierungen. IT-Abteilungen müssen jetzt schnell handeln, um ihre Storage-Infrastruktur abzusichern, bevor aktive Angriffe im Wild aufkommen.

Quelle: The Hacker News