The Hacker News-ի հաղորդմամբ՝ խոցելիություններից մեկը գործարկելու համար նույնականացում պետք չէ, իսկ մյուսը պահանջում է SMB Direct։ Հոկտեմբերի 22-ի դրությամբ Linux-ի հիմնական միջուկում դրանցից ոչ մեկի համար կոնկրետ ուղղում նշված չէր, և ադմինիստրատորները պետք է պարզեն՝ որ համակարգերն են վտանգի ենթակա։
Ըստ The Hacker News-ի՝ հոկտեմբերի 22-ի հրապարակման, որը ներկայացնում է Trend Micro-ի Zero Day Initiative-ի բացահայտումները, Linux-ի KSMBD ֆայլային սերվերում հրապարակայնորեն բացահայտված երկու խոցելիություն կարող է հարձակվողին թույլ տալ հեռակա կոդ գործարկել։ Նախաձեռնությունը երկու խոցելիությանն էլ CVSS սանդղակով տվել է վտանգավորության 9,0 միավոր։ Դրանցից ոչ մեկի համար կոնկրետ ուղղում նշված չէր ո՛չ Linux-ի հիմնական միջուկում՝ մշակման հիմնական տարբերակում, ո՛չ էլ linux-next-ում՝ մշակման այն ճյուղում, որի փոփոխությունները հետագայում ներառվում են հիմնական տարբերակում։
KSMBD-ն Linux-ի միջուկում՝ օպերացիոն համակարգի հիմքում, ապահովում է SMB արձանագրությամբ ֆայլերի ցանցային համատեղ օգտագործումը։ Այս ռիսկերը վերաբերում են KSMBD գործարկող սերվերներին, ոչ թե առհասարակ Linux տեղադրված համակարգերին։ Երկու խոցելիության գործարկման պայմանները նույնպես տարբեր են․ մեկը կարելի է գործարկել առանց համակարգ մուտք գործելու, իսկ մյուսը պահանջում է ֆայլերի համատեղ օգտագործման հատուկ կարգավորում։
The Hacker News-ը երկու խոցելիության համար նկարագրում է հետևյալ պայմանները։ Երկուսի գնահատականներն էլ տվել է Zero Day Initiative-ը։
| Խոցելիություն | CVSS գնահատական | Անհրաժեշտ պայմաններ |
|---|---|---|
ZDI-CAN-33774 | 9,0 | KSMBD-ն աշխատում է ցանցային 445 պորտով․ խոցելիությունը գործարկելու համար նույնականացում պետք չէ։ |
Hudson Rock-ը հայտնել է, որ նոր ձեռք բերված FortiGate ֆայլերը պարունակում են տեղական օգտատերերի և գրացուցակին միացման գրառումներ՝ հավատարմագրերի բացահայտման հետաքննությանն ավելացնելով ավելի վաղ նյութեր։
2 րոպե
ZDI-CAN-33549 | 9,0 | Հիշողության հեռակա ուղղակի հասանելիություն (RDMA) ապահովող ցանցային միջերես, գրելու թույլտվությամբ KSMBD համօգտագործվող պանակ և SMB Direct-ի օգտագործումը համաձայնեցնող հաճախորդային ծրագիր։ RDMA-ն կարող է ապահովվել սարքաշարով կամ rxe ծրագրային դրայվերով։ |
ZDI-CAN-33774-ի դեպքում հրապարակումը նկարագրում է գործողությունների ժամանակային համադրման սխալ, որի պատճառով տվյալները կարող են փոխանցվել արձանագրության սխալ մշակիչին, և KSMBD-ն կարող է տվյալներ կարդալ հիշողության բուֆերի սահմաններից դուրս։ Այն նաև նկարագրում է բուֆերի սահմաններից դուրս գրելու հնարավորություն այն դեպքում, երբ հարձակվողն արդեն հասանելիություն ունի համօգտագործվող պանակին։ Նույնականացման պահանջի բացակայությունը վերաբերում է խոցելիության գործարկմանը․ նկարագրված գրելու հնարավորությունը պահանջում է նաև այդ լրացուցիչ հասանելիությունը։
ZDI-CAN-33549-ը վերաբերում է SMB Direct-ին՝ SMB-ի տվյալների փոխանցման մեխանիզմին, որն օգտագործում է RDMA։ Հրապարակումը նկարագրում է ամբողջ թվի թույլատրելի ստորին սահմանից դուրս գալու սխալ․ չափի հաշվարկի արդյունքը շրջապտույտ է կատարում և ստանում չնախատեսված արժեք։ Դրա հետևանքով հիշողության պատճենումը կարող է դուրս գալ հատկացված բուֆերի սահմաններից։
Ըստ հրապարակման՝ ադմինիստրատորները կարող են ստուգել KSMBD-ի աշխատանքը՝ գործարկելով systemctl status ksmbd կամ lsmod | grep ksmbd հրամանները։ Այս ստուգումներով հայտնաբերվում է ծառայությունը կամ բեռնված մոդուլը․ SMB Direct-ի խոցելիության համար անհրաժեշտ են նաև վերը նշված ցանցային և համօգտագործվող պանակի պայմանները։
Ըստ Red Hat-ի աջակցության փաստաթղթերի, որոնք վկայակոչում է The Hacker News-ը, Red Hat Enterprise Linux-ը լռելյայն չի ներառում KSMBD-ն։ Ադմինիստրատորների համար կարևոր է պարզել՝ արդյոք հենց իրենց սերվերն է գործարկում այդ բաղադրիչը։
Հոկտեմբերի 22-ի դրությամբ երկու խոցելիությունն էլ դեռ սպասում էին հիմնական միջուկում կամ linux-next-ում կոնկրետ ուղղումների։ The Hacker News-ի փոխանցմամբ՝ հիմնական միջուկի ուղղումները սովորաբար շաբաթների ընթացքում են հասնում միջուկի կայուն ճյուղերին, իսկ դրանից հետո՝ Linux-ի բաշխումների հետ տրամադրվող միջուկներին։ Այսպիսով, այդ հետագա թարմացումները ևս մեկ փուլ են, մինչև ադմինիստրատորները ստանան իրենց բաշխման տրամադրած ուղղումները։
Gemini for Home-ի փոփոխությունները նաև վերաբերում են ժամաչափերի սխալ հարցումներին և այլ սենյակների սարքերի կառավարմանը։ Թարմացումը սկսել է տարածվել 2026 թ․ հոկտեմբերի 29-ին, բայց բոլորին հասնելու համար կարող է ժամանակ պահանջվել։
2 րոպե
Meta-ի առանձին հավելվածը հասանելի է iOS-ում և Android-ում՝ Ինդոնեզիայում, Սինգապուրում ու Թաիլանդում։ Նկարագրության համաձայն՝ այն առաջարկում է հագուստի համադրություններ և վիրտուալ փորձարկում՝ օգտատերերի ունեցած զգեստապահարանի հիման վրա։
2 րոպե
