Linux内核ksmbd模块曝出零点击远程代码执行漏洞，PoC已公开
内容提要
安全研究人员分析了Linux内核中的两个高危漏洞CVE-2023-52440和CVE-2023-4130，这些漏洞影响ksmbd，攻击者可通过它们远程控制堆溢出并获取内核内存的读写权限。尽管已发布补丁，不当配置仍可能带来安全风险。
关键要点
-
安全研究人员分析了Linux内核中的两个高危漏洞CVE-2023-52440和CVE-2023-4130，影响内核级SMB服务器ksmbd。
-
CVE-2023-52440是可控SLUB溢出漏洞，攻击者可通过修改ntlm.py构造恶意NTLM认证消息，远程控制堆溢出。
-
CVE-2023-4130是越界读取漏洞，攻击者可通过设置恶意的NextEntryOffset值，诱使ksmbd错误解析数据结构，导致内存泄露。
-
这两个漏洞可以串联利用，攻击者可获得对内核内存的读写能力，可能导致完整的内核入侵。
-
尽管已发布补丁，不当配置和过时系统仍可能给攻击者留下可乘之机。
延伸解读
漏洞串联利用的风险
CVE-2023-52440和CVE-2023-4130两个漏洞可以串联利用，攻击者通过控制堆溢出和内存泄露，可能实现对内核的完全控制。这种攻击链的存在，意味着即使是单个漏洞的修复，也无法完全消除风险，系统管理员需关注整体安全配置。
补丁与配置的重要性
尽管针对这两个漏洞已发布补丁，但不当配置仍可能导致安全隐患。特别是允许匿名写入的共享设置，可能使攻击者更容易利用这些漏洞。因此，及时更新系统和审查配置是确保安全的关键。
内存泄露的潜在影响
CVE-2023-4130的越界读取漏洞可能导致敏感信息泄露，攻击者可以通过SMB协议获取内存中的数据。这种内存泄露不仅影响系统安全，还可能导致数据隐私问题，企业应加强对SMB服务的监控和保护。
延伸问答
CVE-2023-52440漏洞的主要风险是什么？
CVE-2023-52440是可控SLUB溢出漏洞，攻击者可通过构造恶意NTLM认证消息，远程控制堆溢出，可能导致内核入侵。
CVE-2023-4130漏洞是如何被利用的？
CVE-2023-4130是越界读取漏洞，攻击者可通过设置恶意的NextEntryOffset值，诱使ksmbd错误解析数据结构，导致内存泄露。
这两个漏洞可以如何串联利用？
攻击者可以将CVE-2023-52440的堆溢出与CVE-2023-4130的内存泄露结合，获得对内核内存的读写能力，可能导致完整的内核入侵。
Linux系统中如何防范这些漏洞？
尽管已发布补丁，用户应确保系统配置正确，避免不当配置和使用过时系统，以降低被攻击的风险。
这些漏洞对Linux 6.1.45系统的影响是什么？
在Linux 6.1.45系统上，攻击者可通过具有共享写入权限的用户账户攻陷ksmbd，可能导致内核入侵。
PoC利用程序的作用是什么？
PoC利用程序成功在内核中执行ROP链，获取了反向shell，展示了漏洞的实际攻击效果。
