高危漏洞未修复被全网曝光，黑客感谢“手滑”行为！

10月26日消息，据报道，安全研究机构Trend Micro旗下的零日漏洞计划（ZDI）近日发生了严重的操作失误。多份尚未修复的Linux内核安全漏洞报告，被错误地发送至公开邮件列表LKML，导致漏洞细节提前曝光。

此次泄露涉及至少六个尚未修复的漏洞，且每个的CVSS评分均达到9.0及以上。其中编号ZDI-CAN-33774的漏洞存在于内核集成的KSMBD模块中，允许攻击者在受害者电脑上远程执行任意代码。

编号ZDI-CAN-33549的漏洞则涉及SMB Direct的整数溢出，同样可导致远程代码执行。

漏洞细节的提前公开，直接激怒了内核社区。Linux基金会研究员、内核稳定版维护负责人Greg Kroah-Hartman对此表示极度愤怒，他公开要求报告者立即修正提交流程，并强调未修复漏洞的报告绝不应发送到公开地址。

对于网络攻击者而言，这无异于天上掉馅饼的绝佳机会。原本还需要花费大量时间挖掘和验证的9.0分高危漏洞，如今直接被“打包”送到了眼前。难怪有网友调侃，黑客看到这封邮件恐怕只能感叹一句：谢谢啊！

对于普通用户而言，风险主要集中在特定设备上。大多数发行版默认不安装KSMBD组件，普通PC和游戏PC不通过内核SMB共享文件。

真正处于风险中的是NAS服务器、家庭服务器以及任何依赖KSMBD高速特性的设备，且445端口暴露在不可信网络中的系统。临时解决方案是卸载该模块或通过防火墙封锁SMB端口。