洞悉赛场，智赢未来
多个 Linux 内核漏洞被误公开，部分漏洞 CVSS 评分达 9.0
IT之家 10 月 22 日消息，据 Phoronix 今日报道，似乎是出于偶然，Trend Micro 旗下零日漏洞计划（ZDI）提交的多份新的 Linux 内核漏洞报告被发布到了公开的 Linux 内核邮件列表（LKML）中。截至IT之家发稿，部分问题尚未合入 Linux 主线内核，已有修复方案处于测试或候选分支中。
此次涉及的漏洞分布在 Linux 内核多个子系统，影响范围包括网络通信、文件共享、虚拟化图形驱动和存储服务等。其中，SMB Direct 相关漏洞 ZDI-CAN-33549 与 KSMBD 相关漏洞 ZDI-CAN-33774 的 CVSS 评分均为 9.0，存在导致远程代码执行的风险。
另一项漏洞 ZDI-CAN-33367 涉及网络代码中的 skb_zerocopy，可能被用于本地权限提升。报告称，内核开发者此前已从其他渠道收到关于该问题的安全报告，预计很快会提交修复补丁。此外，VMware 图形驱动 VMWGFX 中的 ZDI-CAN-34068 涉及越界写入，可能导致本地权限提升；NVMET 代码中的 ZDI-CAN-34076 则涉及未初始化资源，可能造成信息泄露。
此次公开邮件列表中还出现了编号为 ZDI-CAN-32005 的漏洞报告，该问题涉及搜索域 TCP 查询处理过程中的栈缓冲区溢出，同样可能导致本地权限提升。不同漏洞的修复进度并不一致，部分修复方案已进入开发或测试流程，但不能据此认定所有受影响系统都已获得保护。
Linux 内核项目的安全处理流程通常要求，尚未公开的安全漏洞应优先提交给相关子系统维护者及内核安全团队，以便在漏洞详情公开前协调修复。内核官方安全文档也明确建议，在无法确定漏洞是否适合公开披露时，应优先通过私有渠道报告。此次事件的具体误投原因尚未得到确认。
相关阅读：
《Linux 内核爆出 9.3 分超高危漏洞，可“越狱”虚拟机攻击宿主机》
评论
彩客网围绕专家团队深度解读，把握赛事脉搏不断创新，回应用户的真实需求。
发表于2017年10月15日 11:00精选实时资讯即刻掌握，购彩信息无缝对接内容，彩客网与你一同发现更多精彩。
彩客网专注可视化图表呈现，数据分析直观易懂，为用户提供专业可靠的体验。
发表于2017年10月15日 11:00围绕个性化推荐引擎，助力您的每一次投注，彩客网持续打磨更优质的服务。
围绕彩客预测，彩客网持续打磨更优质的服务。
发表于2017年10月15日 11:00彩客网深耕彩客资讯领域，用心服务每一位用户。
彩客专家
发表于2017年10月15日 11:00我们相信，科学分析是通往成功购彩的必经之路。
彩民用户
发表于2017年10月15日 11:00让数据说话，让专业分析成为您购彩的强大后盾。
在海量专业数据支持，精准赛前分析方面，彩客网提供贴心周到的支持。