WORLDTECHLinux-Kernel-Lücke CVE-2026-98432 ermöglicht Codeausführung über Multipath TCP
Sicherheitsforscher von Anthropic haben eine kritische Lücke im Linux-Kernel entdeckt, die auf Rechnern mit Multipath-TCP-Listenern Codeausführung aus der Ferne ohne Anmeldung erlaubt. Dies berichtet Bleeping Computer.
Fehler steckt im IPv4-TCP-Netzwerkcode
Die Schwachstelle mit der Kennung CVE-2026-98432 ist ein Use-after-free-Fehler im IPv4-TCP-Netzwerkcode des Kernels. Derartige Fehler treten auf, wenn Speicher angesprochen wird, nachdem er bereits freigegeben wurde, und können Angreifern einen Eingriff in den Programmablauf ermöglichen.
Ausgelöst wird der Fehler durch eine Race Condition bei TCP-Verbindungsanfragen. Erreichbar ist er auch in bestimmten Konfigurationen mit TCP-Request-Socket-Migration.
Schweregrad wird unterschiedlich bewertet
Das Linux-Kernel-Team hat der Lücke einen hohen Schweregrad von 9,8 zugewiesen. Einige Hersteller führen sie dagegen als Risiko für Dienstverweigerung, weil die Ausnutzung schwierig ist.
Kernel ab Version 4.4 sind betroffen, also auch Distributionen wie Ubuntu, Red Hat Enterprise Linux und Rocky Linux.
KI-Modell zeigt Rechteausweitung
Anthropic zufolge konnte ein künstliches-Intelligenz-Modell die Kernel-Adressraum-Layout-Randomisierung umgehen, eine Schutzfunktion, die Speicheradressen schwerer vorhersagbar macht, und innerhalb von 53 Minuten Befehle mit Root-Rechten ausführen.
Betreiber von Go-Programmen wissen womöglich nicht, dass sie betroffen sind, denn die Programmiersprache Go aktiviert Multipath TCP ab Version 1.24 standardmäßig.
Patches vorhanden, Zwischenschritte empfohlen
Upstream-Patches gegen die Lücke stehen bereit. Administratoren sollten dennoch die Updates ihrer jeweiligen Distribution vorrangig einspielen.
Bis die Systeme aktualisiert sind, raten Sicherheitsteams, den Netzwerkzugang einzuschränken oder Firewall-Regeln einzurichten, die schädliche IPv4-TCP-Pakete verwerfen.
Offene Fragen
- Werden Updates der Distributionen für die betroffenen Systeme zeitnah erscheinen?
- Welche Schweregradbewertung sich angesichts der unterschiedlichen Einstufungen durchsetzt?