多个 Linux 内核高危漏洞疑似被误公开：最高评分 9.0，部分尚未修复

10 月 22 日，Linux 专业媒体 Phoronix 报道了一起意外事件：多个尚未修复的 Linux 内核安全漏洞，被提前发送到了公开邮件列表，其中至少两个漏洞的 CVSS 评分高达 9.0。 这些漏洞来自趋势科技旗下的 Zero Day Initiative（ZDI）安全研究项目，涉及 Linux 内核多个组件，包括 SMB Direct、KSMBD、VMware 图形驱动、NVMe 等。 其中，两个涉及 SMB 的漏洞可能导致远程代码执行，CVSS 评分达到 9.0，属于严重级别。

为什么说是「误公开」？

按照 Linux 内核的安全漏洞处理流程，尚未修复的漏洞通常需要先通过私人邮件列表报告，让维护者有时间开发补丁。 但这一次，相关漏洞报告却直接出现在公开的 Linux 内核邮件列表（LKML）中。 Linux 内核维护者 Greg Kroah-Hartman 随后提出质疑：为什么要将这些漏洞报告发送到公开列表？ 目前 ZDI 尚未正式确认这是一次操作失误。

涉及哪些漏洞？

漏洞编号涉及组件潜在影响 ZDI-CAN-33549SMB Direct整数下溢，可能导致远程代码执行；CVSS 9.0 ZDI-CAN-33774KSMBD竞争条件，可能导致远程代码执行；CVSS 9.0 ZDI-CAN-33367网络子系统 skb_zerocopy本地权限提升 ZDI-CAN-34068VMware 图形驱动 VMWGFX越界写入、本地权限提升 ZDI-CAN-34076NVMe Target未初始化资源导致信息泄露 ZDI-CAN-32005网络查询处理栈缓冲区溢出、本地权限提升 部分漏洞在公开时仍未完成修复。 在后AI时代，这会是没完没了的常态。 原文：https://www.appinn.com/linux-kernel-vulnerabilities-accidentally-disclosed/

相关阅读

• Windows Vista Extended Kernel – 优化 20 年前比 Windows 7 还老的旧电脑，让 Vista 系统安装现代软件：Firefox、OBS Studio、Chromium…
• Linux 内核到底是什么？为什么 Linux 在 GitHub（才）获得了20万颗星星？
• Linux 又爆 Dirty Frag 漏洞：Ubuntu、Debian、Arch、RHEL、WSL2 全中招｜CVE-2026-43284
• reinstall：操作系统自己重装自己？这个开源项目有点神奇
• Chocolatey – 命令行软件包管理 ©2021 青小蛙 for 小众软件 | 加入我们 | 投稿 | 订阅指南 3659b075e72a5b7b1b87ea74aa7932ff 点击这里留言、和原作者一起评论[ 点击前往获取链接 ]