产业观察
多个 Linux 内核漏洞被误公开，部分漏洞 CVSS 评分达 9.0
📋总体概括
Trend Micro旗下零日漏洞计划ZDI提交的多份Linux内核漏洞报告被意外公开至LKML邮件列表，涉及SMB Direct、KSMBD、网络代码、VMWGFX驱动和NVMET等多个子系统。其中ZDI-CAN-33549与ZDI-CAN-33774的CVSS评分均达9.0，存在远程代码执行风险，其余漏洞多涉及本地权限提升或信息泄露。目前部分漏洞修复方案尚处于测试或候选分支，未合入主线内核，官方流程要求未公开漏洞应先私下协调修复，此次泄露打乱了这一节奏。
⚡关键信息
- ▸ZDI多份Linux内核漏洞报告因意外被公开到LKML邮件列表，涉及网络、文件共享、虚拟化图形驱动和存储等子系统
- ▸SMB Direct漏洞ZDI-CAN-33549与KSMBD漏洞ZDI-CAN-33774的CVSS评分均为9.0，存在远程代码执行风险
- ▸ZDI-CAN-33367涉及skb_zerocopy可致本地提权，VMWGFX的ZDI-CAN-34068为越界写入，NVMET的ZDI-CAN-34076可致信息泄露
- ▸部分漏洞修复仍处于测试或候选分支、未合入主线，不能认定所有受影响系统已获保护
- ▸内核官方流程要求未公开漏洞先提交给维护者与安全团队协调修复，此次公开违反了惯例
🔥犀利点评
一场「意外公开」把协调披露流程的脸打了个正着。ZDI作为专业漏洞机构竟出现报告误投LKML的操作，暴露的是流程管理的低级失误，而非技术问题。更尴尬的是，漏洞细节已飞出，主线补丁却还在测试分支——这中间的窗口期就是攻击者的狂欢时间。对9.0分的RCE级漏洞来说，负责任披露变成了一场看谁手快的赛跑。企业用户此刻能做的只有紧盯主线合并进度，别指望这层协调机制了。
📰 相关资讯（与本文相关的其他资讯）
本文由本站自动聚合，以下为原始来源：前往 IT之家 阅读全文 →