KSMBDrain（CVE-2025-38501）：Linux内核漏洞允许远程DoS攻击，PoC已公开

Linux内核KSMBD子系统中一个新披露的漏洞已被分配编号CVE-2025-38501，远程攻击者可利用该漏洞耗尽服务器资源并造成拒绝服务（DoS）。该漏洞由安全研究员Tianshuo Han发现，影响自5.3版本起的Linux内核——KSMBD子系统正是在该版本合并入主线。

研究员表示：“此漏洞允许远程攻击者耗尽KSMBD服务器的TCP连接限制，阻止其他正常客户端连接。”

漏洞原理：半开连接耗尽资源

该漏洞被命名为KSMBDrain，源于KSMBD子系统处理TCP连接的机制缺陷。攻击者通过发起TCP三次握手但故意不完成会话，可迫使KSMBD服务器无限期保持这些半开连接。

Han解释：“远程攻击者执行TCP三次握手后不响应后续数据包，即可耗尽KSMBD服务器的最大连接限制。默认情况下，KSMBD服务器会无限期保持此类连接，使攻击者能够占用所有可用连接资源。”

尽管管理员可在KSMBD用户空间配置文件中设置超时（最小值为1分钟），但这难以阻止滥用。即使来自单个IP地址，攻击者也能通过反复发起虚假连接，有效阻止合法客户端访问SMB服务。

风险影响与利用门槛

该漏洞使运行KSMBD的Linux服务器面临远程DoS攻击风险，可能中断企业关键的SMB文件共享服务。无需身份验证即可利用，显著降低了攻击门槛。

PoC公开与修复措施

GitHub上已发布公开的概念验证（PoC）代码，利用步骤简单：

1. 启动易受攻击的KSMBD服务器；
2. 在poc.py 中设置目标IP；
3. 运行脚本发起重复TCP握手。

Linux内核提交e6bb9193974059ddbb0ce7763fa3882bd60d4dc3已修复此问题，修改了KSMBD处理不完整TCP握手的逻辑。

管理员建议

系统管理员应立即采取以下措施：

1. 立即更新至补丁内核版本；
2. 监控异常TCP连接峰值，可能预示攻击尝试；
3. 在完成更新前，应用连接速率限制和防火墙规则以减少暴露风险。