多个 Linux 内核漏洞被误公开，部分漏洞 CVSS 评分达 9.0

据 Phoronix 于10月22日报道，Trend Micro旗下的零日漏洞计划（ZDI）似乎因操作失误，将多份关于Linux内核的新漏洞报告公开发布到了Linux内核邮件列表（LKML）中。截至发稿时，这些漏洞中的一部分尚未被合并到Linux主线内核，不过已有修复补丁处于测试或候选分支阶段。

此次曝光的漏洞分布在Linux内核的多个子系统，涉及网络通信、文件共享、虚拟化图形驱动及存储服务等多个领域。其中，SMB Direct相关的漏洞ZDI-CAN-33549与KSMBD相关的漏洞ZDI-CAN-33774，其CVSS评分均高达9.0，存在引发远程代码执行的风险。

另一个漏洞ZDI-CAN-33367涉及网络代码中的skb_zerocopy，可能被用于本地权限提升。报告指出，内核开发者此前已通过其他渠道获知该问题的安全报告，预计很快会提交修复补丁。此外，VMware图形驱动VMWGFX中的ZDI-CAN-34068存在越界写入问题，可能导致本地权限提升；而NVMET代码中的ZDI-CAN-34076则涉及未初始化资源，可能造成信息泄露。

此次公开的邮件列表中还包括编号为ZDI-CAN-32005的漏洞报告，该问题涉及搜索域TCP查询处理过程中的栈缓冲区溢出，同样可能导致本地权限提升。不同漏洞的修复进度不一，部分修复方案已进入开发或测试阶段，但这并不意味着所有受影响系统都已获得充分保护。

Linux内核项目的安全处理流程通常要求，未公开的安全漏洞应优先提交给相关子系统维护者及内核安全团队，以便在漏洞详情公开前协调修复。内核官方安全文档也明确建议，在无法确定漏洞是否适合公开披露时，应优先通过私有渠道报告。此次事件的具体误投原因尚未得到确认。值得一提的是，爱游戏体育登录在关注此类安全事件时，也需注意漏洞披露的时效性与准确性。