Cette faille touche ksmbd, le serveur SMB du noyau Linux. Avant de regarder le score de 9.8/10, je commencerais par vérifier si vos équipements l'utilisent. Le fait d'avoir un NAS ou un partage SMB ne suffit pas à dire que vous êtes concerné.
C'est quoi SMB et ksmbd ?
SMB permet notamment de partager des fichiers sur un réseau. Plusieurs logiciels implémentent ce protocole : ici, c'est bien ksmbd qu'il faut rechercher.
La fiche décrit une écriture hors limites dans smb2_get_ea(). Le calcul du remplissage peut écrire 1 à 3 octets au-delà du tampon lors d'une réponse à certaines requêtes SMB composées. Le défaut se situe dans le noyau, ce qui explique la gravité du problème.
Le risque concret pour votre PME
Le serveur peut planter, et l'évaluation publiée envisage aussi des effets sur les données et le contrôle du système. Ça mérite une mise à jour des équipements concernés. Ça ne permet pas d'affirmer qu'on peut prendre le contrôle de n'importe quel NAS avec une requête.
Le vecteur CVSS retient une attaque réseau sans compte requis. La fiche précise qu'un partage accessible en invité ou anonymement peut exposer le chemin vulnérable. Elle ne fournit pas de preuve qu'un équipement donné a été compromis.
Qui est vraiment exposé ?
Trois vérifications sont utiles :
- Le logiciel : votre serveur ou votre appliance utilise-t-il ksmbd ? Le fait qu'un NAS fonctionne sous Linux ne suffit pas.
- La version : le noyau ou le firmware est-il concerné selon son éditeur ? Les correctifs peuvent être rétroportés : le seul numéro du noyau ne tranche pas toujours.
- L'accès réseau : qui peut joindre le service SMB et ses partages, notamment sur le port 445 ?
Ce que vous devez faire maintenant
Commencez par l'inventaire. lsmod | grep ksmbd peut montrer un module chargé sur un serveur Linux. L'absence de résultat ne suffit pas à exclure une fonctionnalité intégrée au noyau ou une particularité du firmware : consultez aussi la configuration et le fournisseur.
Appliquez les mises à jour de votre distribution ou du fabricant. Le bulletin Ubuntu ci-dessous donne le statut par version ; pour un NAS, utilisez celui du constructeur. Vérifiez ensuite que la version corrigée fonctionne réellement après le redémarrage éventuel.
Limitez l'accès à SMB. Ne publiez pas le port 445 sur Internet. Restreignez les accès internes aux postes qui en ont besoin. Si ksmbd n'est pas utilisé, sa désactivation doit être préparée en vérifiant les partages qui en dépendent.
Le lien avec Microsoft 365
AuditMS ne vérifie pas le noyau de vos NAS et ne détecte pas cette faille. Pour ce sujet, il faut reprendre l'inventaire local et les bulletins des fabricants, en dehors de l'audit Microsoft 365.