漏洞懸賞計畫ZDI傳出將尚未修補的Linux核心漏洞公開

上週震驚全球的PHP重大漏洞PHP2Shell，在協調修補及公布之前就被曝光，提前走漏風聲的研究人員隨之遭到撻伐。然而，事隔數日，又傳出有尚未完成修補的漏洞提前公開，而成為外界焦點。在PHP2Shell、Node2Shell等嚴重漏洞爆發之際，Linux核心漏洞意外提前公開的情況，也不容小覷。

根據Linux新聞網站Phoronix Media的報導，趨勢科技旗下的漏洞懸賞計畫Zero Day Initiative（ZDI），疑似不慎將6個尚未修補的Linux核心高風險漏洞的通報資訊，發送到公開的Linux核心郵件列表（Linux Kernel Mailing List，LKML）而提前曝光，這些弱點資訊原本應透過私有的安全郵件列表，進行溝通、協調，以及修補。值得留意的是，當時相關修補程式尚未合併至Linux核心主線，部分修補工作仍在測試或開發階段，這些提前曝光的弱點，恐為使用者增加資安風險。

為了確認是否真有此事，我們也詢問趨勢科技。該公司表示，一直以來，ZDI都會主動與相關廠商分享漏洞細節，協助廠商及時修補漏洞。而本次事件起因於人為疏失，導致相關漏洞細節誤寄至公開郵件列表，ZDI正努力確保此類非公開資訊持續受到妥善保護。

這批漏洞涉及Linux核心的多個子系統，其中2個漏洞的CVSS評分達9.0分而最受到關注。ZDI-CAN-33549涉及SMB Direct的整數下溢問題，可能導致遠端程式碼執行；ZDI-CAN-33774則涉及KSMBD的競爭條件，同樣可能遭利用以遠端執行程式碼。ZDI-CAN-33549原本預計於未來的7.5版Linux核心才會完成修補（編按：目前最新版核心7.3甫於10月18日發布），現在Linux核心的維護團隊可能會被迫加快修補的速度，以便直接將修補程式加入主線。

另外4個漏洞包括ZDI-CAN-33367，涉及Linux網路程式碼中的skbuff及skb_zerocopy功能，可能讓攻擊者提升本機權限；ZDI-CAN-34068涉及VMware圖形驅動程式vmwgfx的越界寫入問題，同樣可能導致本機權限提升；ZDI-CAN-34076涉及NVMET程式碼中的未初始化資源，可能造成資訊洩露。ZDI-CAN-32005涉及搜尋網域TCP查詢處理中的記憶體堆積緩衝區溢位，可能導致本機權限提升。