Erneut kritischer Bug in Linux TCP/IP aufgedeckt – Updates in Arbeit

Eine kritische Lücke im Netzwerk-Code des Linux-Kerns betrifft nahezu alle Linux-Distributionen, darunter Debian, Red Hat, Suse und Ubuntu. Es handelt sich um ein Problem im TCP/IP-Stack, das Angreifer übers Netz ausnutzen können, um eigenen Code einzuschleusen und auszuführen (Remote Code Execution, CVSS 9,8 und somit allerhöchste Gefahrenstufe). Es gibt jedoch bereits einen Fix des Kernel-Teams; erste Distributoren haben bereits Updates veröffentlicht.

Anthropics Claude deckte diese kritische Sicherheitslücke erst kürzlich bei systematischen Tests wichtiger Projekte auf. Sie schlummerte seit ziemlich genau elf Jahren unbemerkt im Code des Linux-Kerns, den Millionen von Systemen nutzen. Es handelt sich dabei um eine Race-Condition, bei der ein Angreifer den Linux-Kernel seines Opfers dazu bringen kann, auf einer CPU Speicher zu verwenden, den kurz zuvor eine andere CPU bereits freigegeben hatte. Dies führt zu nicht vorhergesehenen Speicherzugriffen, die der Angreifer so koordinieren kann, dass von ihm eingeschleuster Code ausgeführt wird. Das konnte Claude mit einem konkreten Exploit beweisen und Anthropic meldete den Fehler dem Linux-Kernel-Team.

Der Fix nach elf Jahren

Der Commit des fehlerhaften Codes erfolgte am 2. Oktober 2015 in Kernel-Version 4.4 und wurde von mehreren Experten kontrolliert und freigegeben. Erst die systematische Suche einer KI förderte ihn zutage. Am 15. Oktober, also elf Jahre nach dem Commit, bestätigte Greg Kroah-Hartman, dass der Fehler CVE-2026-98432 in den Kernel-Versionen 6.12.113, 6.18.56, 7.2.10 und 7.3-rc7 gefixt wurde.

Er betrifft demnach alle IPv4-Implementierungen seit Version 4.4 des Linux-Kerns; die IPv6-Umsetzung ist jedoch nicht betroffen. Aktuell arbeiten die Linux-Distributoren mit Hochdruck daran, aktualisierte Kernel für die betroffenen und noch unterstützten Produkte bereitzustellen. Den aktuellen Stand dazu liefern Advisories von Debian, Red Hat, Suse und Ubuntu. Administratoren sollten die fehlerbereinigten Kernel bei Verfügbarkeit möglichst zügig einspielen.

Zur konkreten Gefahr, die von dieser Lücke ausgeht, ist bislang wenig bekannt. Der bislang einzige bekannte Exploit stammt von Anthropic und ist nicht öffentlich verfügbar. Er bezieht sich auf sogenannte Multipath-TCP-Verbindungen (MPTCP). Das ist eine TCP-Option, die ein Server-Dienst explizit anfordern muss; lediglich Go-Anwendungen setzen das per Default. Es ist jedoch nicht klar, ob für einen Angriff wirklich zwingend erforderlich ist, dass auf dem Zielsystem ein MPTCP-Dienst läuft. Über konkrete Angriffe und wie die sich äußern würden, wissen wir bislang nichts.

Meine Einschätzung

Dies ist ein besonders eindrucksvolles Beispiel dafür, dass und wie KIs jetzt Sicherheitslücken in unserer über Jahrzehnte gewachsenen Code-Basis aufdecken. Der Netzwerk-Code des Linux-Kerns wird überaus sorgfältig entwickelt und gepflegt; die meiste Software ist da deutlich schlechter aufgestellt. Solcher Code ist überall; die Lücken auch. Was uns bislang vor den Konsequenzen schützte, war die Tatsache, dass die Lücken nur schwer zu finden und noch schwerer auszunutzen waren.

Dass LLMs da jetzt systematisch und weitgehend automatisiert solche Sicherheitslücken offenlegen, zeigt deutlich, wohin die Reise geht: Da kommt eine riesige Welle von Schwachstellen auf uns zu. Oder wie ich es in meinem Security-Lagebild der heise security Tour bereits im Frühsommer formuliert habe: Wir haben über Jahrzehnte Security-Schulden angehäuft, die jetzt auf einen Schlag fällig werden – mit Zins und Zinseszins.

(ju)