Linux内核多个高危漏洞疑遭误公开 最高评分9.0

Linux 内核又曝出一批高危安全漏洞，不过这次引发关注的，不只是漏洞本身，还有它们的公开方式。

据外媒 Phoronix 报道，Trend Micro 旗下的零日漏洞计划（Zero Day Initiative，ZDI）疑似误将多份 Linux 内核安全漏洞报告发送到了公开的 Linux 内核邮件列表（LKML），而非通常用于处理此类问题的私有安全邮件列表。

Linux 的二号人物、内核维护者 Greg Kroah-Hartman 随后逐一回应了这些报告，询问为何相关漏洞信息会被提交到公开列表。不过，并未得到准确回复。

更值得关注的是，这批漏洞涉及网络协议、SMB 服务、显卡驱动等多个内核组件，部分漏洞可能导致远程代码执行或本地权限提升，最高 CVSS 评分达到 9.0。

截至目前，这些漏洞尚未全部在 Linux 主线内核中完成修复。不过，部分问题已经有补丁进入开发分支或测试流程。

两个漏洞评分高达 9.0，可能导致远程代码执行

此次公开的漏洞中，有两个漏洞的 CVSS 评分均达到 9.0，均涉及远程代码执行风险。

• 其中，编号为 ZDI-CAN-33549 的漏洞存在于 SMB Direct 相关代码中，问题与整数下溢有关，可能被利用来实现远程代码执行。该漏洞已有补丁出现在面向 Linux 7.5 的 Git 开发分支中。随着漏洞信息意外公开，相关修复后续可能加快推进。

• 另一个漏洞编号为 ZDI-CAN-33774，涉及内核中的 KSMBD 组件。该漏洞源于竞争条件，同样可能导致远程代码执行，CVSS 评分为 9.0。

除这两个高危漏洞外，此次曝光的问题还包括：

• ZDI-CAN-33367：网络子系统漏洞。问题涉及 skbuff 中的 skb_zerocopy 相关代码，可能导致本地权限提升。内核开发者此前已从其他渠道收到有关这一问题的安全报告，预计很快会提交补丁。

• ZDI-CAN-34068：VMware 图形驱动漏洞。 涉及 VMWGFX 驱动中的越界写入，可能被用于提升本地权限。

• ZDI-CAN-34076：NVMe Target 相关漏洞。问题涉及 NVMET 代码中的未初始化资源，可能导致信息泄露。

• ZDI-CAN-32005：TCP 查询处理漏洞。该问题早在前一天就被发布到公开邮件列表，涉及搜索域 TCP 查询过程中的栈缓冲区溢出，可能导致本地权限提升。

这些漏洞的影响各不相同，具体风险取决于漏洞触发条件、系统配置及相关组件的使用情况，不能简单地认为所有 Linux 设备都会受到同等程度的影响。

漏洞被公开，修复工作仍在推进

通常情况下，Linux 内核安全漏洞会通过私有渠道提交给维护者，以便开发人员在漏洞细节公开之前准备和测试修复补丁。不过，AI 的普及正在改变这一流程。

此次事件也引来了 Hacker News 上不少网友的讨论。有网友提出了一个疑问：Linux 内核不是早已要求，通过 AI 辅助发现的漏洞应当按照公开漏洞处理吗？

这并非空穴来风。根据 Linux 内核官方的安全漏洞处理文档，如果借助 AI 发现漏洞，报告者就应当将其视为公开问题。这项政策背后的考虑是，同一个漏洞可能被不同研究人员借助 AI 工具独立发现，如果仍然通过私有渠道处理，研究人员之间无法看到彼此的报告，反而容易产生大量重复提交。

一位网友对此解释道，Linux 安全团队此前就指出，AI 发现的漏洞往往会在同一天被多个研究人员同时发现。因此，这项政策并不是简单地放弃漏洞保密，而是认为：如果 AI 能够轻易找到某个漏洞，就应当假设其他人也可能很快找到它。

但这一做法也引发了不同意见。

有开发者认为，不能因为使用了 AI，就默认漏洞已经公开。一名参与讨论的网友表示，自己也在使用大语言模型，却并没有因此发现相同漏洞。AI 能够发现某个问题，不等于其他人已经发现了它。在修复补丁尚未就绪时，负责任的漏洞披露仍然有其价值。

另一边也有用户指出，这次争论的重点不应该是漏洞究竟由人还是 AI 发现，而是漏洞本身的严重程度，以及它是否已经具备被利用的可能。如果漏洞确实存在，就应当根据实际风险决定如何处理，而不是仅仅根据发现漏洞的工具来决定披露方式。

与此同时，这也引发了用户对 AI 漏洞披露速度的担忧。从 PHP 近期曝出严重漏洞，到 Linux 内核多份漏洞报告意外出现在公开邮件列表，AI 正在加快漏洞发现的速度，但维护者能否及时验证问题、编写补丁并完成修复，仍然是另一回事。与此同时，大量重复或无效的漏洞报告，也可能进一步增加开源项目的维护压力。

当 AI 让漏洞越来越容易被发现，传统的保密披露机制是否仍然适用？面对漏洞提前公开与修复时间不足的矛盾，安全社区究竟应该优先争取修复时间，还是尽早公开信息？对此，你如何看待这一问题？欢迎留言分享你的看法。

参考：https://www.phoronix.com/news/LKML-New-Trend-Vulnerabilities