Exploit-Code für ungepatchte Ubuntu-Container-Escape-Schwachstelle veröffentlicht

Eine Use-after-free-Bedingung im AF_UNIX-Socket-Subsystem des Linux-Kernels ermöglicht das, was Sicherheitsteams als Container-Escape bezeichnen: Ein Angreifer innerhalb eines Containers kann ausbrechen und Root-Rechte auf dem zugrunde liegenden Host erlangen. Das Sicherheitsunternehmen DepthFirst gab in am 22. September veröffentlichten Forschungsergebnissen bekannt, dass die als CVE-2026-80521 verfolgte Schwachstelle mit einer CVSS-Schwerebewertung von 7.8 am 6. August upstream behoben wurde, aber Ubuntu hat diesen Fix noch nicht für seine LTS-Versionen 26.04, 24.04 oder 22.04 bereitgestellt. DepthFirst hat Proof-of-Concept-Exploit-Code veröffentlicht, der auf Ubuntu 26.04 abzielt.

Die Schwachstelle befindet sich im Garbage Collector des Kernels für AF_UNIX-Sockets. AF_UNIX-Sockets handhaben die lokale Kommunikation zwischen Prozessen auf derselben Maschine, und seccomp-Profile (Secure Computing Mode), die filtern, welche Systemaufrufe ein Prozess verwenden darf, erlauben sie standardmäßig in Docker und Kubernetes. Diese Standardeinstellung ist der Grund, warum die Schwachstelle aus einem Container heraus ohne besondere Berechtigungen erreicht werden kann. Der Garbage Collector räumt Dateideskriptoren auf, die zwischen Prozessen über SCM_RIGHTS-Nachrichten weitergegeben werden, wodurch ein Prozess einem anderen Prozess Zugriff auf eine geöffnete Datei gewähren kann. Eine Race Condition ermöglicht es dem Garbage Collector, neue Referenzen zu sehen, bevor die sie tragenden Daten in die Warteschlange gestellt wurden. Wenn der Collector während dieses Zeitfensters läuft, kann er einen Teil einer Gruppe verknüpfter Sockets freigeben, ohne einen Zeiger aus einer persistenten internen Liste zu entfernen. Der nächste Sammeldurchlauf folgt diesem Zeiger in bereits freigegebenen Speicher – eine klassische Use-after-free-Bedingung.

Der anfällige Code wurde in Kernel 6.10 eingeführt und auch auf die stabilen Zweige 6.1 und 6.6 zurückportiert. Der Upstream-Fix landete am 6. August im Mainline-Kernel 7.2 und im stabilen Zweig 7.1.10. Der Ubuntu-Sicherheits-Tracker listet das Linux-Paket auf 26.04 derzeit als „vulnerable, work in progress“. Die LTS-Versionen 24.04 und 22.04 sind ebenfalls über neuere Kernel-Pakete betroffen, einschließlich derer, die von AWS-, Azure- und GCP-Cloud-Workloads verwendet werden. Auf keiner betroffenen Version wurde ein Fix ausgeliefert, und der Tracker gibt kein Veröffentlichungsdatum für ein Distributions-Update an.

Da der Exploit den Kernel über gewöhnliche Systemaufrufe erreicht, die Container ausführen dürfen, umgeht er die Namespace-Isolation, die Prozesse trennt, die Control-Group-Limits, die die Ressourcennutzung einschränken, und die seccomp-Filterung. Mit anderen Worten: Die üblichen Containergrenzen, die Prozesse trennen, die Ressourcennutzung einschränken und Systemaufrufe filtern, stoppen diesen Angriff nicht. Die Schwachstelle ist nicht im Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) der CISA aufgeführt, und es gibt keine bestätigten Berichte über Angriffe damit in freier Wildbahn.

Weder DepthFirst noch Ubuntu haben einen vorübergehenden Workaround veröffentlicht. Organisationen, die einen betroffenen Kernel ausführen, können den Upstream-Patch direkt anwenden, aber für viele Ubuntu-Nutzer bedeutet das, auf das Distributions-Update zu warten. DepthFirst empfiehlt, nicht vertrauenswürdige Workloads in eine microVM-Isolation wie Firecracker oder Kata Containers zu verlagern. Diese Technologien geben jedem Workload einen eigenen leichtgewichtigen Kernel, anstatt den Kernel des Hosts gemeinsam zu nutzen, was den Container-Escape-Pfad schließt.

DepthFirst gab an, dass sein KI-Modell dfs-large1, das für die Erkennung von Schwachstellen trainiert wurde, den Fehler zusammen mit einem menschlich betriebenen Test-Harness gefunden hat. Das Unternehmen gewann am 24. Juli mit dem Exploit einen Google-kernelCTF-Slot und meldete den Fehler am 5. August an das Kernel-Sicherheitsteam. Kernel-Maintainer antworteten, dass ein Forscher bei OpenAI denselben Fehler unabhängig gemeldet hatte, so die Zeitleiste von DepthFirst. Der CVE-Commit nennt den Kernel-Exploitation-Forscher Kyle Zeng als Melder.

Die Offenlegung ist die jüngste in einer Reihe von Kernel-Schwachstellen aus dem Jahr 2026, die es Angreifern ermöglichen, Container zu verlassen. Eine im Juli offengelegte futex-Schwachstelle und ein Fehler im kryptografischen Subsystem des Kernels im April ermöglichten es ebenfalls einem unprivilegierten Benutzer, sich auf dem Host zu Root zu eskalieren. Beide Entdeckungen beinhalteten KI-unterstützte Forschung. DepthFirst argumentiert, dass die KI-beschleunigte Entdeckung von Schwachstellen die Hürde für Container-Escapes so weit gesenkt hat, dass Organisationen Container nicht als Sicherheitsgrenze betrachten sollten. „Die Hürde, Container durch Angriffe auf den Kernel zu verlassen, ist so stark gesunken, dass wir davon ausgehen müssen, dass Angreifer dies nach Belieben tun können“, sagte das Unternehmen. Laut LinuxCVETracker wurden 2026 fast 5.700 Linux-Kernel-CVEs veröffentlicht – die höchste Jahreszahl aller Zeiten. Der demonstrierte Exploit und das steigende Volumen sind die Grundlage für die Einschätzung des Unternehmens.

Für Website-Betreiber und IT-Teams, die containerisierte Workloads ausführen, ist diese Forschung eine Erinnerung daran, dass der Linux-Kernel selbst ein kritisches Patch-Ziel ist. Wenn Sie Container als Sicherheitsgrenze zwischen Mandanten oder zwischen einer Webanwendung und dem Host verwenden, sollten Sie den Host-Kernel als Teil der Angriffsfläche betrachten und Upstream-Fixes schnell anwenden, sobald sie verfügbar sind. Website-Betreiber, die einen Managed-Hosting-Dienst wie AEU Hosting nutzen, anstatt eigene Ubuntu-Server zu warten, lagern einen Großteil dieser Patch-Arbeit aus und sollten daher bei ihrem Anbieter bestätigen, dass betroffene Kernel-Updates angewendet werden, sobald sie verfügbar sind. Bis Ubuntu die korrigierten Pakete ausliefert, sind die sichersten Wege die microVM-Isolation oder das Verlagern nicht vertrauenswürdiger Workloads weg von gemeinsam genutzten Kernels.