Hackerparagraph,IT-Security, Linux Bild © DALL-EHackerparagraph,IT-Security, Linux (Bild © DALL-E)

Use-after-free-Schwachstelle

Die Schwachstelle beruht auf einer Race Condition innerhalb des Codes, der für den Aufbau neuer IPv4-TCP-Verbindungen zuständig ist. Wenn sich der Zeitpunkt der Operationen ungünstig überschneidet, versucht der Kernel möglicherweise, auf bereits freigegebenen Speicher zuzugreifen. Diese spezifische Fehlerklasse ist als „Use-after-free“-Schwachstelle bekannt.

Technische Daten deuten darauf hin, dass IPv6-Verbindungen von diesem Problem nicht betroffen sind, da der Kernel das Kopieren relevanter Optionen bei IPv6 anders handhabt als bei IPv4. Die Schwachstelle ist systemweit vorhanden und scheint bereits in Versionen bis zurück zu Linux 4.4 zu bestehen. Um dies zu beheben, implementierten die Kernel-Entwickler am 5. Oktober 2026 einen Fix, der sicherstellt, dass der Kernel die Freigabe von Optionen verzögert, bis alle CPUs deren Verarbeitung abgeschlossen haben.

KI-generierter Exploit und Angriffsvektor

Die Sicherheitslücke erlangte große Aufmerksamkeit, nachdem Anthropic berichtete, dass sein KI-Modell „Claude“ erfolgreich einen funktionsfähigen Exploit erstellt hatte. Dem Bericht zufolge zielt der Angriff speziell auf Server ab, die einen Multipath-TCP (MPTCP)-Listener verwenden.

Der Exploit läuft in zwei unterschiedlichen Phasen ab: 1. Informationsleck: Der Angreifer löst die Race Condition aus, um den Kernel zu zwingen, zusätzliche Datenbytes zurückzugeben. Dadurch kann der Angreifer eine Kerneladresse ermitteln und die Kernel Address Space Layout Randomization (KASLR) umgehen. 2. Rechteausweitung: Dieselbe Schwachstelle wird anschließend genutzt, um einen Pufferüberlauf auszulösen. Dadurch wird ein Callback-Zeiger auf zuvor im Speicher platzierten Schadcode umgeleitet, was zur Ausführung eines Shell-Befehls mit Root-Rechten führt.

In Tests dauerte der Vorgang des Adresslecks etwa 48 Minuten, während die anschließende Befehlsausführung weitere fünf Minuten in Anspruch nahm. Da eine fehlgeschlagene Race-Condition lediglich zu einem fehlgeschlagenen Verbindungsversuch führt, können Angreifer den Exploit wiederholt versuchen, bis er erfolgreich ist.

Risikoeinschätzungen bei Linux-Distributoren

Es gibt erhebliche Diskrepanzen darin, wie verschiedene Softwareanbieter das mit CVE-2026-98432 verbundene Risiko eingestuft haben:

  • Linux-Kernel-Team: Stufte die Schwachstelle mit 9,8 ein, unter der Annahme, dass ein Angreifer wiederholte Verbindungsanfragen mit den Optionen „IPv4-Record-Route“ oder „Timestamp“ sendet.
  • Red Hat: Stufte das Risiko zunächst als „moderat“ mit einer Bewertung von 5,9 ein und argumentierte, dass die Race-Condition schwer auszunutzen sei und höchstwahrscheinlich zu einem Systemabsturz führen würde. Später aktualisierte Red Hat seinen Sicherheitshinweis jedoch auf „wichtig“ mit einer Bewertung von 8,1.
  • Oracle und SUSE: Beide vergaben eine Bewertung von 8,1 und unterschieden sich vom Kernel-Team vor allem dadurch, dass sie die Komplexität des Angriffs als hoch einstuften.
  • Amazon: Vergebene Risikobewertung: 7,0.

Patch-Status und Behebung

Zwar wurde Anfang Oktober ein Fix in den Hauptzweig des Kernels integriert, doch verlief die Bereitstellung über verschiedene Distributionen hinweg uneinheitlich. Aktueller Status nach Distribution:

  • Gepatcht: Debian, Oracle Linux, SUSE und Amazon Linux haben korrigierte Pakete für mehrere ihrer Kernel-Versionen veröffentlicht.
  • Nicht gepatcht/ausstehend: Stand 29. Oktober sind Ubuntu-Versionen von 16.04 bis 26.10 als anfällig oder in Bearbeitung aufgeführt. Die Red Hat Enterprise Linux (RHEL)-Versionen 8, 9 und 10 haben den Fix noch nicht erhalten; Updates wurden auf eine spätere Version verschoben. RHEL 7 ist Berichten zufolge nicht betroffen.

Für Administratoren, die ihre eigenen Kernel kompilieren, ist die Sicherheitslücke in den folgenden Versionen behoben: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 und 7.3. Das CVE-Team empfiehlt, auf die neueste stabile Kernel-Version umzusteigen, anstatt einzelne Patches anzuwenden.

Derzeit liegen keine bestätigten Berichte darüber vor, dass diese Sicherheitslücke in der Praxis ausgenutzt wird, und sie wurde noch nicht in den CISA-Katalog „Known Exploited Vulnerabilities“ (KEV) aufgenommen.