Kritische Linux-TCP-Schwachstelle ermöglicht Remote-Code-Ausführung ohne Authentifizierung

Red Hat hat kritische Patches für eine schwere Schwachstelle zur Remote-Code-Ausführung im Linux-Kernel veröffentlicht, während Ubuntu seine Fixes in einem opt-in Testkanal bereitstellt. Die als CVE-2026-98432 identifizierte Schwachstelle betrifft die IPv4-TCP-Implementierung und weist einen CVSS-Score von 9,8 von 10 auf. Diese Entwicklung stellt ein bedeutendes Sicherheitsereignis für Infrastrukturteams dar, die Linux-Server über große Distributionen hinweg verwalten.

Was ist passiert

Die Schwachstelle resultiert aus einem Use-after-Free-Fehler bei der Handhabung von IPv4-TCP-Verbindungen durch den Linux-Kernel. Wenn ein Server eine Verbindung akzeptiert, übergibt er IP-Optionen aus der eingehenden Anfrage an das neue Socket, ohne eine Kopie zu erstellen. Wenn ein Client die Verbindungsanfrage erneut sendet, während ein anderer Prozessor diese Optionen noch liest, kann der Kernel auf bereits freigegebenen Speicher zugreifen. Ein Angreifer kann diesen Race Condition auslösen, indem er Verbindungsanfragen mit spezifischen IPv4 Record Route oder Timestamp Optionen an jeden lauschenden TCP-Port sendet. Eine Authentifizierung ist nicht erforderlich, und der Angriffsvektor ist vollständig remote.

Red Hat stufte das Problem zunächst als Moderate mit einer Bewertung von 5,9 ein, hob es aber nach weiteren Analysen auf Critical mit 9,8 an. Der Fehler existiert im Kernel seit Version 4.4, obwohl der Upstream-Fix erst im Oktober zusammengeführt wurde. Red Hat stellte am 1. November Updates für RHEL 8, 9 und 10 bereit, die einen Neustart erfordern, um wirksam zu werden. Ubuntu gab am 2. November bekannt, dass Fixes für die LTS-Releases 22.04, 24.04 und 26.04 im -proposed Pocket verfügbar sind, einem opt-in Testkanal. Canonical erklärte, dass kein Veröffentlichungsdatum für den regulären Update-Kanal festgelegt wurde, da sie weiterhin Tests auf mehr als 2.000 zertifizierten Geräten durchführen.

Wie es funktioniert

Der Kernmechanismus beinhaltet einen Race Condition während des TCP-Handshakes. Normalerweise verarbeitet der Kernel die Header und Optionen eines ankommenden TCP-Pakets. In dieser fehlerhaften Implementierung referenziert der Kernel die IP-Optionen direkt aus dem ursprünglichen Paketbuffer, anstatt sie an einen sicheren, persistenten Ort zu kopieren. Wenn der Netzwerkstack eine erneute Übertragung desselben Pakets gleichzeitig auf einem anderen CPU-Kern verarbeitet, könnte der ursprüngliche Buffer freigegeben oder wiederverwendet werden, bevor die zweite Lesung abgeschlossen ist. Dies ermöglicht es einem Angreifer, den gelesenen Speicherinhalt zu manipulieren, was potenziell zu beliebiger Codeausführung mit Root-Rechten führen kann.

IPv6 ist auf dem Hauptpfad nicht betroffen, was den Umfang auf IPv4-Datenverkehr beschränkt. Während einige Berater vorschlugen, Multipath TCP (MPTCP) als Workaround zu deaktivieren, stellte Canonical klar, dass die Schwachstelle im standardmäßigen IPv4-TCP-Pfad liegt, wodurch MPTCP-Einstellungen für den primären Exploit-Vektor irrelevant sind. Die einzige zuverlässige Gegenmaßnahme bleibt das Anwenden des Kernel-Patches. Red Hat stellte eine vorläufige nftables-Regel bereit, um eingehende IPv4-TCP-Pakete mit IP-Optionen zu verwerfen, aber dies kann legitime Workloads beeinträchtigen und verhindert die Ausnutzung nicht vollständig, insbesondere bei Container-Datenverkehr auf demselben Host.

Wichtige Details

• Schwachstellen-ID: CVE-2026-98432, vom Linux-Kernel-CVE-Team mit 9,8/10 bewertet.
• Betroffene Systeme: Linux-Kernel seit Version 4.4; betrifft speziell RHEL 8, 9, 10 sowie Ubuntu 22.04, 24.04, 26.04 LTS.
• Angriffsvektor: Remote, unauthentifizierter Angreifer, der IPv4-TCP-Pakete mit Record Route oder Timestamp Optionen sendet.
• Red Hat Fix: Verfügbar über RHSA-2026:93414, RHSA-2026:93412 und RHSA-2026:93413; erfordert Neustart.
• Ubuntu Status: Fixes im -proposed Kanal; ältere LTS-Versionen (20.04, 18.04, 16.04) haben ohne Ubuntu Pro noch keinen Fix.
• Exploit Status: Keine Wild-Exploits gemeldet, aber Anthropic’s internes KI-Modell generierte in Proof-of-Concept-Tests einen funktionierenden Root-Exploit.

Warum es wichtig ist

Für Software-Ingenieure und IT-Leiter stellt diese Schwachstelle ein Risiko hoher Schwere dar, da sie keine Benutzerinteraktion oder Anmeldedaten erfordert. Jeder öffentlich erreichbare Linux-Server, der einen ungepatchten Kernel ausführt, ist potenziell anfällig für eine vollständige Systemkompromittierung. Die Tatsache, dass ein KI-Modell in der Lage war, einen funktionierenden Exploit zu generieren, unterstreicht die beschleunigte Geschwindigkeit, mit der theoretische Schwachstellen zu praktischen Bedrohungen werden können. Obwohl Anthropic den Code nicht veröffentlichte, deutet die Existenz eines solchen Tools darauf hin, dass motivierte Angreifer ähnliche Fähigkeiten schnell entwickeln könnten.

Die Diskrepanz bei der Verfügbarkeit von Patches zwischen Red Hat und Ubuntu schafft auch operative Herausforderungen. Red Hat-Nutzer können Fixes sofort anwenden, während Ubuntu-Nutzer entscheiden müssen, ob sie den -proposed Kanal aktivieren sollen, der aufgrund weniger umfangreicher Tests ein höheres Risiko für Instabilität birgt. Teams, die gemischte Umgebungen verwalten, müssen Neustarts koordinieren und Kernel-Versionen sorgfältig überprüfen. Die vorläufige Gegenmaßnahme unter Verwendung von nftables ist unvollkommen und kann Netzwerkdiagnosen oder spezifische Anwendungs behaviors stören, die auf IP-Optionen angewiesen sind, was einen Kompromiss zwischen Sicherheit und Funktionalität erzwingt, bis offizielle Patches weit verbreitet sind.

Was Sie tun können

• Prüfen Sie Ihre aktuelle Kernel-Version mit uname -r und vergleichen Sie sie mit den in den Advisories der Anbieter aufgelisteten festen Versionen.
• Für RHEL-Systeme wenden Sie die neuesten Errata (RHSA-2026:93414, 93412 oder 93413) an und planen Sie einen Neustart.
• Für Ubuntu-LTS-Systeme erwägen Sie die Aktivierung des -proposed Pockets, wenn sofortiger Schutz erforderlich ist, folgen Sie dabei den spezifischen Befehlen von Canonical.
• Implementieren Sie die Red Hat nftables-Regel als vorübergehende Maßnahme, wenn Sie nicht sofort patchen können, überwachen Sie jedoch auf unterbrochene Konnektivität.
• Stellen Sie sicher, dass Ihre Firewall-Regeln nicht versehentlich IPv4-TCP-Pakete mit ungewöhnlichen IP-Optionen von nicht vertrauenswürdigen Quellen zulassen.
• Planen Sie verpflichtende Neustarts über Ihre gesamte Infrastruktur hinweg, da Kernel-Updates für diese Schwachstelle nicht live ohne Neustart angewendet werden können.