NewsAgency

Several Linux Kernel Vulnerabilities Accidentally Posted To Public Kernel Mailing List

Properties1
tagslinux, ksmbd, zdi, cve, disclosure

4 dakika okuma süresi

Summary

ZDI accidentally published multiple unpatched Linux kernel CVE reports to public LKML, including two CVSS 9.0 SMB/KSMBD RCE issues; Greg K-H flagged the disclosure error.

PreScreening Notes

  • Score: 9/10 (critical)
  • Recency: published 2026-10-22T11:12:37Z, ~18.9h old at screening — passes 48h gate
  • Domain fit: software — kernel security disclosure process failure
  • Newsworthiness: accidental public posting of unpatched CVEs including CVSS 9.0 SMB RCE; affects broad Linux deployments
  • Duplicates: none in active pipeline

Evaluation Report

News Value Assessment

DimensionRatingNotes
Timeliness★★★★★~19h old; disclosure window still active for defenders
Impact★★★★★CVSS 9.0 SMB/KSMBD RCE; affects servers and NAS-style Linux deployments
Prominence★★★★☆ZDI, Greg Kroah-Hartman, LKML — core kernel community
Proximity★★★★☆Turkish devops/SRE and backend teams on Linux at scale
Novelty★★★★★Process failure (premature public CVE) is distinct from routine patch Tuesday

Audience Fit

  • Primary audience: Software developers, platform engineers, security responders.
  • Actionability: Patch tracking, SMB/KSMBD exposure review, disclosure-coordination lessons.
  • Topic connection: Kernel security and responsible disclosure are evergreen for our readership.

Risk & Ethics Assessment

  • Verification: Phoronix + LKML thread attribution; credible primary trail.
  • Fact-checking: > [!warning] Confirm patch availability and affected kernel versions during analysis; premature disclosure may aid attackers — avoid exploit recipe detail in consumer article.
  • Ethics: Frame as coordination failure, not sensationalism; cite Greg K-H and vendor timelines neutrally.

Publication Strategy

  • Format: standard — CVE context, affected subsystems, mitigation checklist (~600–800 words).
  • Related wiki (suggested): linux-kernel, responsible-disclosure, smb-protocol (create or update during analysis).

Suggested Angle

Türkçe teknik okuyucu için: ZDI’nin yamalanmamış CVE’leri LKML’de yanlışlıkla yayınlaması, özellikle SMB/KSMBD üzerindeki kritik RCE’lerin savunma tarafında “sıfır gün penceresi” riski. Greg Kroah-Hartman’ın uyarısı ve koordineli açıklama sürecinin neden önemli olduğu; sunucu ekiplerine KSMBD/SMB exposure kontrol listesi.

Source Analysis

Corroborated with additional raw feeds listed in Research Notes.

Research Notes

Additional sources

Verified / unverified

  • Verified: ZDI public LKML Cc Oct 21; ZDI-CAN-33774 CVSS 9.0 ksmbd race
  • Verified: Fix 68f410faedaf in maintainer tree, not mainline as of Oct 22

  • No CVEs assigned yet; avoid exploit recipe detail in consumer article

Context

Editorial Notes

  • Onaylanan çerçeve: standard (~600–800 kelime); ZDI/LKML koordinasyon hatası + savunma checklist; sensationalizm yok.
  • Reporting talimatları: CVE atanmadığını belirt; exploit/PoC detayı verme; Greg Kroah-Hartman tepkisini nötr alıntıla; ksmbd/SMB exposure için pratik kontrol listesi ekle; skb_zerocopy LPE’yi kısa bağlam olarak an, ana odak ksmbd CVSS 9.0 RCE ve süreç hatası.
  • Başlık önerileri: «ZDI, yamalanmamış Linux kernel CVE raporlarını yanlışlıkla LKML’de yayınladı»; «LKML sızıntısı: KSMBD üzerinde iki CVSS 9.0 RCE riski»
  • Zorunlu noktalar: Hata türü (public vs private list); etkilenen alt sistemler; patch/mainline durumu; sunucu/NAS ekipleri için mitigation; responsible-disclosure bağlantısı.

Draft Article

ZDI, yamalanmamış Linux kernel CVE raporlarını yanlışlıkla LKML’de yayınladı

21 Ekim 2026’da zero-day-initiative (ZDI), yamalanmamış güvenlik raporlarını gizli koordinasyon listesi yerine kamuya açık Linux Kernel Mailing List (LKML) üzerinden yanlışlıkla Cc’ledi. Phoronix ve pwn.watch’un özetlediği olayda özellikle ksmbd alt sisteminde iki adet CVSS 9.0 uzaktan kod çalıştırma (RCE) riski taşıyan rapor (ZDI-CAN-33774, ZDI-CAN-33549) öne çıkıyor. linux-kernel maintainer Greg Kroah-Hartman sürecin hatasını kamuoyuna işaret etti.

Henüz resmi CVE numarası atanmadı; bu haber exploit veya PoC tarifi içermez.

Ana Gelişme

ZDI-CAN-33774, ksmbd’de race koşuluna dayalı RCE olarak sınıflandırılıyor. Düzeltme commit’i 68f410faedaf maintainer ağacında görülüyor; 22 Ekim itibarıyla mainline’a girmemiş olabilir. Yalnızca kernel içi ksmbd çalıştıran sunucular risk altında; yalnızca Samba kullanan sistemler bu ksmbd vektöründen etkilenmez.

Ek raporlar arasında skb_zerocopy ile ilişkili yerel yetki yükseltme (LPE) bağlamı da geçiyor; savunma önceliği ksmbd RCE ve exposure denetimi olmalı.

Neden Önemli?

Koordineli responsible-disclosure penceresi kapanmadan detayların LKML’de görünmesi, saldırganların yama öncesi fırsat penceresini genişletir. Türkiye’deki DevOps ve SRE ekipleri NAS benzeri Linux dağıtımlarında ksmbd servisinin açık olup olmadığını kontrol etmeli.

Teknik Detaylar

smb-protocol ailesinde ksmbd, kernel içi SMB sunucusu; exposure genelde 445/tcp. Mitigation: ksmbd’yi devre dışı bırakma veya kullanılmıyorsa modülü kaldırma, patch takibi, ağ segmentasyonu.

Bağlam

application-security ve zero-day-vulnerabilities gündeminde süreç hatası kadar teknik severity de önemli; ZDI olayı eğitim amaçlı case study olarak okunabilir.

Sonraki Adımlar

Kernel topluluğu düzeltmeleri mainline ve stable branch’lere taşıyacak. Kurumlar distro güvenlik bültenlerini izlemeli; sensationalist «sıfır gün» başlıkları yerine patch SLA odaklı yanıt verilmeli.

Kaynaklar

Grafik Görünümü