Waspada! Celah Kritis Mengancam Linux

Waspada! Celah Kritis Mengancam Linux – Dua kerentanan pada KSMBD, layanan berbagi berkas yang terintegrasi dengan kernel Linux, berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh. Salah satunya dapat dipicu tanpa autentikasi, sementara perbaikan resmi di kernel utama masih dinantikan.

Dua kerentanan berkeparahan tinggi yang ditemukan pada KSMBD kembali menyoroti pentingnya mengamankan layanan berbagi berkas di server Linux.

Keduanya memiliki skor CVSS 9,0 dari skala 10 dan dikategorikan sebagai remote code execution (RCE), yaitu kondisi ketika penyerang berpotensi menjalankan kode pada sistem dari jarak jauh.

Kerentanan tersebut diidentifikasi dengan kode ZDI-CAN-33549 dan ZDI-CAN-33774. Informasi teknisnya telah dipublikasikan melalui milis pengembangan kernel Linux pada Oktober 2026. Berdasarkan laporan yang tersedia, saat pengungkapan dilakukan, perbaikan untuk keduanya belum terintegrasi ke kernel utama (mainline).

Mengenal KSMBD dan Potensi Dampaknya

KSMBD merupakan implementasi server SMB yang berjalan di dalam kernel Linux. SMB (Server Message Block) adalah protokol jaringan yang lazim digunakan untuk berbagi berkas dan sumber daya, misalnya folder bersama, antarperangkat dalam jaringan.

Karena KSMBD beroperasi di tingkat kernel, kelemahan pada pemrosesannya perlu mendapat perhatian serius. Eksploitasi yang berhasil dapat mengancam kerahasiaan data, integritas sistem, dan ketersediaan layanan. Namun, keberhasilan serangan serta dampak akhirnya tetap bergantung pada karakteristik kerentanan dan konfigurasi sistem yang ditargetkan.

Tidak semua server Linux otomatis terdampak. Risiko ini terutama berkaitan dengan sistem yang menjalankan KSMBD dalam konfigurasi yang memungkinkan jalur rentan diakses.

KSMBD juga berbeda dari Samba, yaitu implementasi server SMB lain yang berjalan sebagai proses biasa. Karena itu, administrator perlu memastikan layanan SMB apa yang benar-benar digunakan sebelum menentukan langkah mitigasi.

Kerentanan 1: ZDI-CAN-33774 Dapat Dipicu Tanpa Autentikasi

Kerentanan ZDI-CAN-33774 berkaitan dengan kondisi race condition dalam mekanisme pemilihan penangan paket (protocol handler) di KSMBD. Race condition terjadi ketika hasil pemrosesan bergantung pada urutan atau waktu sejumlah operasi yang berlangsung secara bersamaan.

Dalam kasus ini, penyerang dapat mengirimkan rangkaian paket SMB dengan karakteristik tertentu. Akibat kondisi balapan, data dari paket SMB1 yang lebih pendek berpotensi diproses menggunakan penangan SMB2 yang mengharapkan struktur data lebih panjang.

Ketidaksesuaian tersebut dapat menyebabkan pembacaan melewati batas memori yang dialokasikan. Laporan teknis juga menguraikan jalur yang dapat menyebabkan penulisan melewati batas memori dalam kondisi tertentu.

Hal yang paling mengkhawatirkan adalah kerentanan ini dilaporkan dapat dipicu tanpa autentikasi. Dengan demikian, penyerang tidak harus terlebih dahulu memiliki akun pada layanan tersebut apabila server menjalankan KSMBD dan jalur rentannya dapat dijangkau melalui jaringan.

Meski demikian, potensi eksploitasi dari jarak jauh tidak berarti semua server yang menggunakan Linux dapat langsung diambil alih. KSMBD harus aktif dan layanan harus dapat dijangkau melalui jalur serangan yang relevan.

Kerentanan 2: ZDI-CAN-33549 pada SMB Direct

Kerentanan kedua, ZDI-CAN-33549, berada pada jalur pemrosesan SMB Direct yang menggunakan RDMA (Remote Direct Memory Access). Teknologi ini memungkinkan transfer data antarsistem dengan mengurangi keterlibatan prosesor dalam sejumlah operasi pemindahan data.

Masalahnya berupa integer underflow, yaitu kondisi ketika operasi pengurangan menghasilkan nilai yang melampaui batas representasi angka yang digunakan.

Dalam kasus ini, penyerang dapat mengirimkan deskriptor buffer RDMA dengan panjang yang tidak sesuai dengan ukuran muatan yang dinyatakan. Perhitungan ukuran pada server kemudian dapat mengalami kesalahan sehingga operasi penyalinan memori berpotensi melewati batas buffer yang dialokasikan.

Berbeda dari kerentanan pertama, eksploitasi ZDI-CAN-33549 memerlukan kondisi yang lebih spesifik. Di antaranya:

Server memiliki antarmuka jaringan yang mendukung RDMA, baik perangkat keras maupun implementasi perangkat lunak yang relevan.
Terdapat share KSMBD yang dapat ditulisi.
Klien menggunakan SMB Direct dalam komunikasi dengan server.

Persyaratan tersebut mempersempit kondisi sistem yang berisiko, tetapi tidak menghilangkan ancaman bagi organisasi yang memang menggunakan konfigurasi tersebut.

Status Perbaikan dan Identitas CVE

Pada saat kedua laporan kerentanan dipublikasikan, perbaikannya belum tercatat terintegrasi ke kernel utama maupun pohon pengembangan integrasi linux-next.

Ada laporan bahwa perbaikan untuk ZDI-CAN-33549 telah disiapkan pada cabang pengembangan untuk siklus kernel berikutnya, tetapi keberadaan kode pada cabang pengembangan tidak sama dengan tersedianya pembaruan resmi untuk seluruh pengguna Linux.

Kedua kerentanan tersebut juga belum memiliki nomor CVE pada saat pengungkapan awal. Oleh karena itu, administrator sebaiknya menggunakan kode ZDI-CAN-33549 dan ZDI-CAN-33774 ketika mencari informasi teknis dan perkembangan perbaikan, sembari memantau pengumuman resmi dari pengelola distribusi Linux yang digunakan.

Penting pula untuk tidak menganggap bahwa semua laporan kerentanan kernel yang muncul pada periode yang sama berkaitan dengan KSMBD.

Sejumlah laporan lain menyasar subsistem jaringan, pengandar grafis virtual, dan pengandar NVMe. Kerentanan tersebut memiliki cakupan dan persyaratan berbeda sehingga perlu ditangani secara terpisah.

Langkah Mitigasi bagi Administrator Linux

Sebelum pembaruan resmi tersedia, organisasi yang menggunakan server Linux dapat mengambil sejumlah langkah untuk mengurangi paparan risiko.

1. Periksa apakah KSMBD sedang aktif.

Administrator dapat menjalankan perintah berikut:

systemctl status ksmbd

atau:

lsmod | grep ksmbd

Perintah pertama memeriksa status layanan apabila dikelola melalui systemd, sedangkan perintah kedua membantu melihat apakah modul KSMBD sedang dimuat.

Hasil kosong tidak selalu cukup untuk menyimpulkan bahwa layanan tidak digunakan; administrator perlu memeriksa konfigurasi sistem dan mekanisme pengelolaannya.

2. Nonaktifkan KSMBD jika tidak diperlukan.

Jika layanan ini tidak digunakan, hentikan dan nonaktifkan melalui mekanisme yang sesuai dengan distribusi Linux. Pastikan pula modul tidak dimuat kembali secara otomatis.

Pengelola sistem harus memvalidasi prosedur tersebut pada lingkungan masing-masing agar tidak mengganggu layanan yang masih dibutuhkan.

3. Batasi akses jaringan ke layanan SMB.

Hindari mengekspos port TCP 445 ke internet jika tidak diperlukan. Batasi akses SMB ke jaringan internal dan perangkat yang memang berwenang.

Perlu diingat bahwa pembatasan jaringan mengurangi jangkauan serangan, tetapi bukan pengganti perbaikan kerentanan.

4. Pantau pembaruan keamanan.

Periksa pengumuman kernel Linux dan vendor distribusi yang digunakan. Setelah pembaruan yang relevan tersedia, lakukan pengujian sesuai prosedur organisasi sebelum menerapkannya ke sistem produksi.

5. Tinjau konfigurasi SMB Direct.

Organisasi yang menggunakan RDMA perlu memastikan apakah SMB Direct dan share yang dapat ditulisi benar-benar diperlukan. Jika tidak dibutuhkan, nonaktifkan komponen terkait melalui konfigurasi yang didukung sistem.

Langkah Terpenting

Dua kerentanan KSMBD dengan skor CVSS 9,0 menunjukkan bahwa layanan berbagi berkas dapat menjadi jalur serangan serius ketika kesalahan pemrosesan protokol memengaruhi pengelolaan memori. ZDI-CAN-33774 menjadi perhatian utama karena dilaporkan dapat dipicu tanpa autentikasi, sedangkan ZDI-CAN-33549 memerlukan dukungan SMB Direct, RDMA, dan share yang dapat ditulisi.

Langkah terpenting bagi organisasi adalah memastikan apakah KSMBD aktif, membatasi akses jaringan, menonaktifkan layanan yang tidak dibutuhkan, serta memantau ketersediaan perbaikan resmi. Dengan mengetahui komponen yang digunakan dan mengurangi paparan sejak dini, administrator dapat menekan risiko sambil menunggu pembaruan keamanan yang sesuai.

Baca artikel lainnya: