Se ha identificado una vulnerabilidad Zero-Day en el kernel de Linux, asignada como CVE-2025-37899. Esta descubierta utilizando el modelo o3 de OpenAI, lo que representa un avance significativo en la investigación asistida por inteligencia artificial.
Detalles técnicos
La vulnerabilidad afecta al componente ksmbd, un servidor interno del kernel de Linux que implementa el protocolo SMB3 para compartir archivos en red. Se identificó una vulnerabilidad de uso después de la liberación en el controlador del comando «logoff» de SMB, lo que podría provocar brechas de seguridad.
El descubrimiento fue realizado por Sean Heelan, quien declaró haber encontrado la vulnerabilidad únicamente con la API o3. Según su declaración, esta es la primera discusión pública sobre una vulnerabilidad de este tipo detectada mediante un modelo de lenguaje extenso.
Impacto y mitigación
Los detalles técnicos revelan que cuando un hilo procesa un comando de cierre de sesión, libera el objeto sess -> user. Sin embargo, si otra conexión envía una solicitud de configuración de sesión para enlazarse a la sesión que se está liberando, podría haber acceso simultáneo al mismo objeto, lo que resulta en un escenario clásico de uso tras liberación. Estas vulnerabilidades pueden provocar corrupción de memoria y permitir potencialmente a los atacantes ejecutar código arbitrario con privilegios de kernel.
La vulnerabilidad afecta a varias versiones del kernel de Linux hasta la 6.12.27, la 6.14.5 y la 6.15-rc4. El Sistema de Puntuación de Predicción de Exploits (EPSS) estima una probabilidad de explotación relativamente baja del 0,02 %. Las distribuciones de Linux, incluyendo SUSE, ya están trabajando en parches.
El modelo o3 y su papel
El modelo o3 de OpenAI, publicado el 16 de abril de 2025, representa un avance significativo en las capacidades de razonamiento de la IA. Su capacidad para comprender estructuras de código complejas y razonar sobre operaciones concurrentes resultó crucial para identificar esta vulnerabilidad.
Sean Heelan señaló que los modelos de lenguaje han dado un gran paso adelante en su capacidad para razonar sobre código, lo cual puede aumentar significativamente la eficiencia y eficacia en investigación de vulnerabilidades.
Conclusión
El descubrimiento marca un hito en cómo los sistemas de IA podrían transformar la investigación en seguridad. Modelos como o3 están demostrando ser potentes asistentes que pueden analizar eficientemente bases de código complejas.