Vulnerabilidades críticas do kernel Linux divulgadas acidentalmente em lista pública

A iniciativa Zero Day Initiative da Trend Micro divulgou acidentalmente várias vulnerabilidades não corrigidas do kernel Linux na lista pública de discussão (LKML) em vez de usar o canal privado de segurança. Entre elas estão duas falhas com severidade CVSS 9.0 que permitiriam execução remota de código através do SMB Direct e KSMBD. Greg Kroah-Hartman, vice-chefe de manutenção do kernel, respondeu aos relatórios questionando por que tinham sido enviados para a lista pública.

As vulnerabilidades divulgadas incluem: ZDI-CAN-33549 (underflow de inteiro no SMB Direct), ZDI-CAN-33774 (condição de corrida no KSMBD), ZDI-CAN-33367 (elevação de privilégio local no código de rede), ZDI-CAN-34068 (escrita fora dos limites no driver gráfico VMWGFX), ZDI-CAN-34076 (divulgação de informação no código NVMET) e ZDI-CAN-32005 (estouro de buffer em query TCP). Patches para algumas já estão em desenvolvimento, enquanto outras ainda serão preparadas pelos desenvolvedores.