Linux-Kernel-Exploits veröffentlicht: Patch blockiert lokalen Root

Funktionierender Exploit-Code für vier Linux-Kernel-Exploits, von denen jeder einem lokalen Benutzer die vollständige Kontrolle über eine Maschine ermöglicht, wurde von dem Forscher veröffentlicht, der sie entdeckt hat. Alle vier sind Speichersicherheitsfehler in dem Teil des Systems, der den Netzwerkverkehr verarbeitet, und jeder erlaubt es jemandem, der bereits über einen geringen Zugriff verfügt, beispielsweise ein Konto mit niedrigen Rechten auf einem gemeinsam genutzten Server, zu Root aufzusteigen, der höchsten Zugriffsebene auf einer Linux-Maschine. Der Kernel ist das Kernprogramm eines Linux-Computers: Er sitzt zwischen der Hardware und allem anderen und entscheidet, wer was tun darf. Der Forscher, Asim Manizada, meldete die Fehler Mitte Juli an das Linux-Kernel-Sicherheitsteam und veröffentlichte seinen technischen Bericht zusammen mit funktionierenden Exploits am 18. September, nach einer koordinierten Sperrfrist mit Linux-Distributionen, damit die Korrekturen zuerst veröffentlicht werden konnten. Kernel-Maintainer haben alle vier in den letzten Wochen behoben, sodass ein System mit einem aktuellen Kernel nicht betroffen ist. Bisher gibt es keine Berichte, dass die vier in realen Angriffen eingesetzt wurden.

Die Exploits stammen von Manizada selbst, sind auf bestimmte Kernel-Builds abgestimmt und können eine Maschine zum Absturz bringen, sodass sie für isolierte Testsysteme und nicht für Live-Systeme gedacht sind. Dennoch erhöht öffentlicher Exploit-Code das Risiko auf gemeinsam genutzten Systemen. Lokale Rechteausweitung, der technische Name für den Wechsel von einem eingeschränkten Konto zur vollständigen Kontrolle, ist am wichtigsten, wenn ein Angreifer bereits über einen gewissen Zugriff verfügt, etwa ein Konto mit niedrigen Rechten auf einem Mehrbenutzerserver, und die gesamte Maschine übernehmen will. Jede Maschine, die noch einen älteren Kernel ausführt, sollte aktualisiert werden.

Die vier Fehler wurden DirtyAH6, TUNderflow, PPPoEject und DiagSpill genannt. DirtyAH6 wird als CVE-2026-80844 geführt und befindet sich im IPsec-Code, der den IPv6-Authentifizierungsheader verarbeitet, wobei IPsec eine Reihe von Regeln zur Verschlüsselung und Überprüfung von Netzwerkverkehr ist und IPv6 die aktuelle Version des Internet-Adressierungssystems. TUNderflow ist CVE-2026-81000 und sitzt in den virtuellen Netzwerkgeräten TUN und TAP, bei denen es sich um Softwareversionen einer Netzwerkkarte handelt. PPPoEject ist CVE-2026-68121 und sitzt im Code für PPP über Ethernet, eine Methode, eine Internetverbindung über ein Netzwerkkabel zu übertragen, die viele Breitbandanbieter noch verwenden. DiagSpill ist CVE-2026-74469 und sitzt im Meldecode für SCTP, ein Netzwerkprotokoll, das für telefonieähnlichen Signalisierungsverkehr verwendet wird. Drei der vier können von einem normalen Benutzer nur erreicht werden, wenn unprivilegierte Benutzernamespaces aktiviert sind. Benutzernamespaces sind eine Linux-Funktion, die es einem normalen Benutzer ermöglicht, sich innerhalb einer privaten Sandbox als Root zu verhalten. Viele Distributionen aktivieren sie standardmäßig, wodurch ein Angreifer die Netzwerkprivilegien erlangt, die die Exploits erfordern. Der vierte Fehler, DiagSpill, ist die Ausnahme: Er erfordert keine Benutzernamespaces und keine besonderen Privilegien, solange das System über das SCTP-Netzwerkmodul verfügt.

Manizada fand auch heraus, dass zwei der Fehler, DirtyAH6 und DiagSpill, über das Netzwerk ausgelöst werden können, aber nur in engen Fällen und hauptsächlich, um einen Systemabsturz zu verursachen, anstatt die Kontrolle darüber zu erlangen. DirtyAH6 kann einen Host zum Absturz bringen, der als IPv6-Router oder -Gateway fungiert und einen IPsec-Authentifizierungsheader im Transportmodus hinzufügt. DiagSpill kann einen Host nur zum Absturz bringen, wenn bestimmte SCTP-Optionen, die standardmäßig deaktiviert sind, eingeschaltet sind. Manizada erreichte Remote-Root mit DirtyAH6 nur in seinem eigenen Labor und nur, indem er zuerst den Speicher auf dem Ziel formte. Dies allein aus der Ferne zu tun, schrieb er, "sieht extrem schwierig aus", obwohl er es nicht ausschloss. Für DiagSpill sagte er, er sehe überhaupt keinen Weg zu Remote-Root, selbst mit perfekter Speicherformung. Er sagte auch, dass die Fehler theoretisch einem Angreifer ermöglichen könnten, aus einem Container auszubrechen, dem isolierten Bereich, der verwendet wird, um eine Anwendung getrennt vom Rest eines Servers auszuführen, aber er baute keinen solchen Exploit.

Die Lösung besteht darin, auf einen Kernel zu aktualisieren, der alle vier Korrekturen enthält. Die ersten stabilen Kernel-Versionen mit dem vollständigen Satz sind 5.10.270, 5.15.221, 6.1.188, 6.6.157, 6.12.109, 6.18.50 und 7.2.4. Dies sind Versionsnummern des Haupt-Linux-Kernel-Projekts. Die meisten Leute verwenden einen Kernel, der von einer Distribution bereitgestellt wird, wie Debian, Ubuntu, Red Hat oder SUSE, die eigene Versionsnummern verwendet und diese Korrekturen nach eigenem Zeitplan hinzufügt, sodass die obigen Nummern nicht diejenigen sind, nach denen man auf diesen Systemen suchen sollte. Überprüfen Sie die Sicherheitshinweise Ihrer Distribution, um sicherzustellen, dass sie ein Update veröffentlicht hat, das alle vier enthält. Wenn ein Patchen nicht sofort möglich ist, reduzieren zwei Schritte das Risiko. Der erste ist, unprivilegierte Benutzernamespaces zu deaktivieren, was den Pfad für normale Benutzer zu DirtyAH6, TUNderflow und PPPoEject schließt, aber DiagSpill nicht stoppt und auch keinen Container oder Prozess stoppt, der bereits über Netzwerk-Admin-Privilegien verfügt. Der zweite ist, die betroffenen Funktionen AH6, TUN/TAP, PPPoE und SCTP zu deaktivieren, wenn Sie sie nicht verwenden. Manizada empfiehlt, zu patchen, anstatt Funktionen abzuschalten, da andere Pfade zu denselben Fehlern existieren könnten.

Alle vier sind Speichersicherheitsfehler in verschiedenen Teilen des Netzwerk-Codes des Kernels. Jeder ermöglicht es einem Angreifer, den Kernel-Speicher zu beschädigen, was Manizada dann nutzte, um eine Root-Shell zu erlangen. Die zugrunde liegenden Fehler sind alt und reichen von 10 bis 21 Jahren im Code. DirtyAH6 befindet sich im IPsec-Code, der den IPv6-Authentifizierungsheader verarbeitet: Dieser Code vertraute auf ein Routing-Header-Feld, ohne es gegen die Anzahl der vorhandenen Adressen zu überprüfen, sodass ein manipuliertes Paket dazu führte, dass ein interner Zeiger weit außerhalb der Grenzen verschoben wurde und über den Puffer hinaus schrieb. TUNderflow befindet sich in den virtuellen Netzwerkgeräten TUN und TAP: Ein einzelner Wert wurde sowohl als Reserveplatz als auch als Größe verwendet, und ein übergroßer Wert, der über Open vSwitch übergeben wurde, führte dazu, dass die Größenberechnung umlief, sodass Paketdaten außerhalb ihres Puffers landeten. PPPoEject befindet sich im Code für PPP über Ethernet: Es behielt einen Zeiger in einen Netzwerkpuffer, während eine Geräteroutine aufgerufen wurde, die diesen Puffer freigeben und verschieben konnte, und die späteren Schreibvorgänge verwendeten dann freigegebenen Speicher, ein Fehler, der als Use-after-free bekannt ist. DiagSpill befindet sich im Meldecode für SCTP: Ein Zähler, der Verbindungsendpunkte verfolgt, ist nur 16 Bit breit, sodass der 65.536ste Endpunkt ihn auf Null zurücksetzte, und der Meldecode dann keinen Platz reservierte, aber die vollständige Liste kopierte und etwa 8 MiB Daten über das Ende seines Puffers hinaus schrieb.

Manizada sagte, er habe die vier Fehler mit einem KI-gestützten Prozess gefunden, der eine Karte davon erstellt, wie der Kernel den Speicher verwaltet, und über dessen Layout nachdenkt. Die Kernel-Korrektur für DirtyAH6 zeichnet dies auf: Der Commit enthält eine "Assisted-by"-Zeile, die seine benutzerdefinierten KI-Tools würdigt. Die Offenlegung ist die neueste in einer Reihe von Linux-Kernel-Privilegienausweitungsfehlern, die 2026 öffentlich gemacht wurden, von denen mehrere mit Hilfe großer Sprachmodelle gefunden wurden. Manizada legte im Juli einen ähnlichen Open vSwitch-Fehler, OVSwrap, offen. Einer der neuen Exploits verwendet auch eine Technik aus Dirty Frag wieder, einem weiteren Linux-Kernel-Root-Fehler, der im Mai von einem anderen Forscher offengelegt wurde. In seinem Bericht sagte Manizada, diese Charge beende wahrscheinlich die öffentliche Phase seiner KI-gestützten Fehlersuche.

Für jeden, der eine Website oder einen Unternehmensserver betreibt, ist die praktische Frage einfach: Welche Maschine führt welchen Kernel aus und wann wurde sie zuletzt aktualisiert? Leser, die Kernel-Sicherheitshinweise lieber nicht selbst verfolgen möchten, finden es möglicherweise nützlich, dass AEU Hosting (albhosting.eu) ein managed WordPress-Hosting ist, das so aufgebaut ist, dass die Serverseite des Dienstes, nicht nur die Website, in der Verantwortung des Hosting-Anbieters liegt. Wenn Sie Ihren Server oder Hosting-Plan von jemand anderem mieten, fragen Sie den Anbieter, wann der Patch für diese vier Fehler auf Ihren Maschinen eingespielt wurde, und akzeptieren Sie keine Versionsnummer, die von einem anderen Projekt stammt als dem, das Ihr Server tatsächlich ausführt.