多項 Linux 核心弱點意外公布於公開郵件清單 （★ 107 分）
Trend Micro 旗下的 Zero Day Initiative (ZDI，零時差弱點研究計畫) 疑似誤將多份 Linux 核心安全弱點通報寄到公開的 Linux Kernel Mailing List (LKML，Linux 核心郵件清單)，而非平常用於協調修補的私密安全郵件清單。Linux 核心維護者 Greg Kroah-Hartman 隨即逐件詢問為何公開送出。這些弱點多數尚未併入 Linux 主線的修補程式，但部分修補已在測試中，或排入 Linux 的 -next 整合測試分支。
通報中最嚴重的兩項獲通用弱點評分系統 (CVSS, Common Vulnerability Scoring System) 9.0 分：ZDI-CAN-33549 是 SMB Direct 的整數下溢，可造成遠端程式碼執行；SMB（Server Message Block）是網路檔案共享協定。ZDI-CAN-33774 則涉及 KSMBD（核心中的 SMB 伺服器實作）競態條件，攻擊者可能藉由多項操作的時序衝突取得遠端程式碼執行能力。其他案例包括網路 skbuff `skb_zerocopy` 路徑可造成本機權限提升、VMware 虛擬顯示驅動程式 VMWGFX 的越界寫入、NVMET（NVMe over Fabrics 目標端）的未初始化資源導致資訊外洩，以及 TCP（傳輸控制協定）搜尋網域查詢的堆疊緩衝區溢位。
Hacker News 討論對「誤寄」說法抱持懷疑，也有人認為 Trend Micro 應為此事負責，因為在修補尚未公開前將高風險弱點送往公開郵件清單，可能讓攻擊者取得可用線索。另有觀點指出，Linux 核心的弱點通報規範已要求：若弱點是透過 AI 協助找出，通報者應視為公開資訊處理；其理由是其他人可能用相同工具快速重現發現，私下協調的保密價值較低。
不過，也有評論反駁，能以大型語言模型 (LLM, Large Language Model) 找到弱點，不代表弱點已被他人實際發現或利用，因此負責任揭露仍有必要。討論者也提醒，高嚴重度項目集中於 SMB Direct 與 KSMBD，實際影響範圍取決於系統是否啟用相關核心功能；其餘本機權限提升弱點通常需要攻擊者已能在目標機器上執行程式。整體而言，事件突顯 AI 輔助弱點研究增加後，Linux 社群必須重新權衡公開透明、修補速度與協調揭露之間的取捨。
👥 26 則討論、評論 💬
https://news.ycombinator.com/item?id=50193804