#安全资讯 趋势科技旗下安全团队 ZDI 不慎将多个 Linux Kernel 未修复漏洞公开，疑似是发送邮件时不慎抄送给公开列表。报告中涉及多项内核漏洞，包括两项远程代码执行漏洞，而且漏洞尚未修复或进入主线版本。按照趋势科技原计划，这些漏洞应该在明年 2 月 18 日才公开，结果现在刚提交就公开。查看全文：https://ourl.co/127581

网络安全公司趋势科技旗下的零日漏洞计划 ZDI 团队日前将多份漏洞报告抄送给公开的 Linux Kernel Mailing List，其中有两项远程代码执行漏洞的评分高达 9.0 分。这里面有部分漏洞并未修复因此不应该公开，从邮件头部信息来看应该是报告发送给内核安全团队的同时不慎抄送给公开列表。

公开报告中 ZDI-CAN-33549 描述 SMB Direct 整数下溢问题，该问题可能导致远程代码执行。报告中列出的触发环境需要启用 SMB Direct、RDMA 设备和可共享目录。

ZDI-CAN-33774 涉及内核 SMB 服务器 KSMBD 的竞态条件，这个漏洞也可能导致远程代码执行。ZDI-CAN-33549 和 33774 都属于远程代码执行类别的漏洞，CVSS 4.0 评分均为 9.0 (严重级别)。

其他报告涉及网络代码中的本地提权、VMware 虚拟显卡驱动的越界写入、NVMe 目标子系统的信息泄露。还有个 ConnMan 缓冲区溢出漏洞，不过这不是内核漏洞。

ZDI 的待发布通告页将上述内核漏洞报告列为 10 月 21 日通知 Linux 内核团队、计划于 2027 年 2 月 18 日公开发布漏洞细节；ConnMan 报告对应的计划公开日期为 2027 年 2 月 16 日。

而目前相关修复尚未合并到 Linux Kernel 主线版本，可以看到这纯粹是操作失误导致漏洞被提前公开，不知道提前公开这些漏洞是否会对 Linux 生态系统造成潜在的危害。

消息源：Lore Linux Kernel

热门推荐仅需99元/年，硅谷CN2GIA服务器，另有3年版仅需528元，限量销售，售完即止