Patch-Priorität: Eine neue Welle von Linux-Sicherheitslücken bringt Nutzer in Schwierigkeiten

In den letzten Monaten sind mehrere besorgniserregende Sicherheitslücken aufgetaucht, die Linux betreffen. Zu diesen Sicherheitslücken gehören Einträge in der CISA-Liste „Known Exploited Vulnerabilities“ (KEV) für CVE-2026-31431 (auch bekannt als „Copy Fail“) [1], sowie eine ältere Schwachstelle, CVE-2022-0492 [2]. Eine Welle besorgniserregender neuer Schwachstellen steht jedoch im Zusammenhang mit öffentlich verfügbaren Exploits oder Proof-of-Concept-Code (PoC). Insgesamt umfassen die Schwachstellen lokale Rechteausweitung, Container-Escape, die Ausführung beliebiger Befehle als Root, Kernel-Heap-Korruption und die Ausführung von Remote-Code (RCE). Linux-Anwender sollten ihre Infrastruktur regelmäßig scannen, Bewertungen zur Ermittlung der Gefährdung durchführen und Patches priorisieren, um Risiken für kritische Ressourcen zu minimieren.

Eine Risikobewertung neu auftretender Schwachstellen im Linux-Kernel

In den letzten Wochen hat der Greenbone-Blog „Copy Fail“ – eine neue, aktiv ausgenutzte Linux-Sicherheitslücke – sowie „Copy Fail 2“ und „Dirty Frag“ behandelt. Seitdem sind mehrere neue Schwachstellen aufgetaucht, die den Linux-Kernel und Kernkomponenten betreffen und ein erhebliches Betriebsrisiko innerhalb des Linux-Ökosystems darstellen.

Eine technische Bewertung neu auftretender Linux-Sicherheitslücken

Im folgenden Abschnitt werden kürzlich bekannt gewordene Sicherheitslücken behandelt, die den Linux-Kernel und zentrale Komponenten betreffen. Jeder Abschnitt fasst die zugrunde liegende technische Ursache, verfügbare Bedrohungsinformationen, mögliche vorübergehende Abhilfemaßnahmen sowie die Upstream-Korrekturen zusammen.

CVE-2026-31705 betrifft den ksmbd-SMB-Server

CVSS 9,8 · KritischEPSS 0,1 % (14.)Keine bekannte AusnutzungPatch verfügbar

CVE-2026-31705 (CVSS 9,8, EPSS ≥ 31. Perzentil) ist ein Schreibvorgang außerhalb des zulässigen Bereichs im Pfad smb2_get_ea() des Linux-Kernel-ksmbd-SMB-Servers. Eine memset-Operation zur 4-Byte-Ausrichtung wird ausgeführt, ohne den verbleibenden Speicherplatz zu überprüfen. Durch Ausnutzung dieser Schwachstelle können zusammengesetzte SMB-Anfragen benachbarten Kernel-Heap-Speicher überschreiben.

Eine ausführliche technische Beschreibung ist online verfügbar, was das Risiko für Verteidiger erhöht [1]. Es wurden keine vom Hersteller bereitgestellten Workarounds veröffentlicht. Allerdings kann das Beenden von KSMBD und/oder das Entladen und Blockieren des ksmbd-Kernelmoduls Angriffe auf die betroffenen Komponenten wirksam verhindern. Upstream-Korrekturen sind in den Linux-Kernel-Versionen 6.1.175, 6.6.136, 6.12.84, 6.18.25, 7.0.2 sowie 7.1. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2026-31705 und fügt weiterhin Überprüfungen auf Paketebene hinzu, sobald Linux-Distributionen Sicherheitshinweise und Patches veröffentlichen.

CVE-2026-55200 betrifft libssh2

CVSS 8,3 · HochEPSS 0,9 % (55.)Öffentlicher PoC

CVE-2026-55200 (CVSS 8,3, EPSS ≥ 78. Perzentil) betrifft libssh2. Die Schwachstelle ist ein Schreibvorgang außerhalb des zulässigen Bereichs in ssh2_transport_read(), verursacht durch ein ungeprüftes, vom Angreifer kontrolliertes packet_length-Feld. Ein böswilliger oder kompromittierter SSH-Server kann manipulierte SSH-Pakete senden, um eine Speicherbeschädigung auszulösen und RCE zu erlangen.

Detaillierte technische Beschreibungen und PoC-Exploits sind online verfügbar, was das Risiko für Verteidiger erhöht [1][2]. Es gibt keine Abhilfemaßnahme, außer zu verhindern, dass libssh2-Clients eine Verbindung zu nicht vertrauenswürdigen SSH-Servern herstellen, etwa durch Deaktivieren des Dienstes. CVE-2026-55200 betrifft alle libssh2-Versionen bis einschließlich 1.11.1. Es wurde noch keine korrigierte Upstream-Version veröffentlicht, die Korrektur ist jedoch im Upstream-Commit 97acf3df verfügbar und wurde von einigen Linux-Distributionen zurückportiert. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2026-55200 und fügt weiterhin Überprüfungen auf Paketebene hinzu, sobald Linux-Distributionen Sicherheitshinweise und Patches veröffentlichen.

Fragnesia: CVE-2026-46300 (CVSS 7,5)

CVSS 7,8 · HochEPSS 0,1 % (17.)Öffentlicher PoC

Bekannt als „Fragnesia“, ist CVE-2026-46300 (CVSS 7,8, EPSS ≥ 83. Perzentil) auf den Verlust des Shared-Fragment-Markers während der skb-Zusammenführung in den net/skbuff– und ESP-Eingabepfaden des Linux-Kernels zurückzuführen. Die anschließende In-Place-Verarbeitung von ESP ermöglicht die Entschlüsselung von Fragmenten, die durch den Seiten-Cache abgesichert sind. Das Problem gilt als leicht ausnutzbares Risiko einer lokalen Rechteausweitung, da es im Seiten-Cache gespeicherte, schreibgeschützte Dateien beschädigen kann. Laut Ubuntu kann die Ausnutzung einem lokalen Benutzer Root-Rechte auf betroffenen Hosts verschaffen, und auch Container-Escape-Szenarien sind möglich.

Mehrere technische Beschreibungen und PoC-Exploits sind online verfügbar, was das Risiko für Verteidiger erhöht [1][2][3][4][5]. Eine vorübergehende Abhilfe kann durch das Entladen und Blockieren der Kernel-Module esp4 und esp6 erreicht werden [6]. CVE-2026-46300 betrifft Linux-Kernel-Versionen ab 3.9. Die Upstream-Korrekturen sind in den Versionen 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33, 7.0.10 sowie 7.1. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2026-46300 und fügt weiterhin Überprüfungen auf Paketebene hinzu, sobald Linux-Distributionen Sicherheitshinweise und Patches veröffentlichen.

ssh-keysign-pwn: CVE-2026-46333 (CVSS 7,1)

CVSS 7,1 · HochEPSS 0,0 % (0.)Öffentlicher PoC

Bekannt als „ssh-keysign-pwn“, ist CVE-2026-46333 (CVSS 7,1, EPSS ≥ 71. Perzentil) eine Race Condition in der ptrace– und process-exit-Verarbeitung des Linux-Kernels. Das Problem dreht sich um die Dumpbarkeit und den Abbau von mm. Beim Beenden eines privilegierten Prozesses kann pidfd_getfd() offene Dateideskriptoren des beendenden Prozesses duplizieren. Durch Ausnutzung dieser Schwachstelle können sensible, root-eigene Daten offengelegt werden, darunter SSH-Schlüssel und Passwort-Hashes. Der öffentliche Proof-of-Concept für diese Schwachstelle erfordert den Systemaufruf pidfd_getfd, mit dem ein Dateideskriptor eines anderen Prozesses dupliziert werden kann. Die Kernel-Korrektur erfordert die Fähigkeit CAP_SYS_PTRACE, um einen anderen Prozess zu überwachen oder zu steuern, wenn der Zielprozess beendet wird – bekannt als der „No-mm“-Fall.

Mehrere technische Beschreibungen und PoC-Exploits sind online verfügbar, was das Risiko für Verteidiger erhöht [1][2][3][4][5][6]. Eine vorübergehende Abhilfe besteht darin, allen nicht privilegierten Benutzern oder nur Benutzern ohne die Berechtigung CAP_SYS_PTRACE zu untersagen, sich über den Systemaufruf ptrace() an andere Prozesse anzuhängen [7]. CVE-2026-46333 ist eine Schwachstelle im Linux-Kernel und kein Fehler in OpenSSH. Patches sind in den Linux-Kernel-Versionen 5.10.256, 5.15.207, 6.1.173, 6.6.139, 6.12.89, 6.18.31, 7.0.8 sowie 7.1. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2026-46333 und fügt weiterhin Überprüfungen auf Paketebene hinzu, sobald Linux-Distributionen Sicherheitshinweise und Patches veröffentlichen.

DirtyDecrypt / DirtyCBC: CVE-2026-31635 (CVSS 7,5)

CVSS 7,5 · HochEPSS 0,0 % (4.)Öffentlicher PoC

Bekannt als „DirtyDecrypt“ (auch „DirtyCBC“), betrifft CVE-2026-31635 (CVSS 7,5, EPSS ≥ 53. Perzentil) Linux-Kernel, bei denen CONFIG_RXGK kompiliert und aktiviert ist. Eine invertierte Bereichsprüfung in der RxRPC-/RxGK-Antwortvalidierung führt dazu, dass übergroße RESPONSE-Authentifikatoren akzeptiert und tiefer in die Verarbeitung geleitet werden. Sekundären Berichten zufolge kann die Schwachstelle im Seiten-Cache gespeicherte privilegierte Dateien überschreiben und zur lokalen Rechteausweitung auf Root genutzt werden.

Mehrere technische Beschreibungen und PoC-Exploits sind online verfügbar, was das Risiko für Verteidiger erhöht [1][2][3][4][5]. Es wurden keine vom Hersteller bereitgestellten Workarounds veröffentlicht. Unabhängige Forscher haben jedoch vorgeschlagen, das rxrpc-Modul als vorübergehende Lösung zu entladen und zu blockieren [6]. Upstream-Korrekturen für CVE-2026-31635 sind in den Linux-Kernel-Versionen 6.18.23, 6.19.13 sowie 7.0 enthalten. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2026-31635 und fügt weiterhin Überprüfungen auf Paketebene hinzu, sobald Linux-Distributionen Sicherheitshinweise und Patches veröffentlichen.

CIFSwitch: CVE-2026-46243 (CVSS 7,1)

CVSS 7,1 · HochEPSS 0,0 % (4.)Öffentlicher PoC

Bekannt als „CIFSwitch“, betrifft CVE-2026-46243 (CVSS 7,1, EPSS ≥ 28. Perzentil) die Verarbeitung von cifs_spnego im CIFS-Client des Linux-Kernels. Die Schwachstelle ermöglicht es dem Userspace, cifs.spnego-Schlüsselbeschreibungen über request_key(2) oder add_key(2) zu fälschen, wodurch cifs.upcall vom Angreifer kontrollierte Autoritätsfelder als vertrauenswürdig einstuft. Die Schwachstelle ermöglicht es einem lokalen Benutzer mit geringen Berechtigungen, beliebige Befehle als Root auszuführen.

Mehrere technische Beschreibungen und PoC-Exploits sind online verfügbar, was das Risiko für Verteidiger erhöht [1][2][3][4]. Als vorübergehende Abhilfe gilt es, das cifs-Kernelmodul zu entladen und zu blockieren, cifs-utils zu entfernen oder die cifs.spnego-Request-Key-Regel zu deaktivieren [5]. CVE-2026-46243 betrifft Linux-Kernel mit dem CIFS-Client oder cifs-utils sowie der cifs.spnego-Request-Key-Integration. Upstream-Korrekturen sind in den Versionen 5.10.258, 5.15.209, 6.1.175, 6.6.142, 6.12.92, 6.18.34, 7.0.11 sowie 7.1. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2026-46243 und fügt weiterhin Überprüfungen auf Paketebene hinzu, sobald Linux-Distributionen Sicherheitshinweise und Patches veröffentlichen.

PinTheft: CVE-2026-43494 (CVSS 7,8)

CVSS 7,8 · HochEPSS 0,0 % (10.)Öffentlicher PoC

Bekannt als „PinTheft“, betrifft CVE-2026-43494 (CVSS 7,8) den RDS-Zerocopy-Sendepfad im Linux-Kernel. Der Fehler liegt in einer Bereinigungslogik, die bereits freigegebene Seiten erneut freigibt, nachdem op_nents auf einen Wert ungleich Null verblieben ist. Die Exploit-Kette nutzt feste io_uring-Puffer, um den Seiten-Cache einer SUID-root-Binärdatei zu überschreiben.

Mehrere detaillierte Berichte und PoC-Exploits sind online verfügbar, was das Risiko für Verteidiger erhöht [1][2][3][4]. Eine Abhilfe kann erreicht werden, indem sichergestellt wird, dass das rds-Modul entladen und vor dem automatischen Laden blockiert wird [5]. CVE-2026-43494 betrifft Linux-Kernel-Versionen ab 4.17 mit dem RDS-Subsystem. Upstream-Korrekturen sind in den Linux-Kernel-Versionen 5.10.258, 5.15.209, 6.1.175, 6.6.141, 6.12.91, 6.18.33, 7.0.10 sowie 7.1. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2026-43494 und fügt weiterhin Überprüfungen auf Paketebene hinzu, sobald Linux-Distributionen Sicherheitshinweise und Patches veröffentlichen.

GhostLock: CVE-2026-43499 (CVSS 7,8)

CVSS 7,8 · HochEPSS 0,0 % (7.)Öffentlicher PoC

Bekannt als „GhostLock“, handelt es sich bei CVE-2026-43499 (CVSS 7,8) um einen Use-after-free-Fehler im rtmutex-Slowlock– und Proxy-Lock-Rollback-Pfad des Linux-Kernels. Die Funktion remove_waiter() hinterlässt einen hängenden Zeiger und einen unsicheren Sperrzustand. Red Hat und Ubuntu beschreiben lokale Rechteausweitung und Denial-of-Service-Auswirkungen [1][2], und laut Nebula ist auf ungepatchten Systemen auch ein Container-Escape möglich.

Mehrere ausführliche technische Beschreibungen und PoC-Exploits sind online verfügbar, was das Risiko für Verteidiger erhöht [1][2][3][4]. Es ist keine Abhilfemaßnahme verfügbar. CVE-2026-43499 betrifft Linux-Kernel-Versionen ab 2.6.39, wobei die Upstream-Korrekturen in die Versionen 5.10.261, 5.15.212, 6.1.175, 6.6.140, 6.12.86, 6.18.27, 7.0.4 sowie 7.1 integriert sind. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2026-43499 und fügt weiterhin Überprüfungen auf Paketebene hinzu, sobald Linux-Distributionen Sicherheitshinweise und Patches veröffentlichen.

Abhilfemaßnahmen für neu auftretende Linux-Sicherheitslücken

Unternehmen sollten die Behebung neu auftretender Linux-Sicherheitslücken anhand des betrieblichen und geschäftlichen Werts der betroffenen Ressourcen, der Erreichbarkeit der betroffenen Systeme, der technischen Details der einzelnen Schwachstellen sowie der Bedrohungsinformationen priorisieren – einschließlich bekannter aktiver Ausnutzung und der Existenz von PoC-Exploits.

Die Abwehr von Schwachstellen im Upstream-Linux-Kernel hängt entweder von der Umsetzung wirksamer Workarounds oder von der Installation von Updates in nachgelagerten Linux-Distributionen ab, sobald diese verfügbar sind. Sind keine technischen Workarounds verfügbar, müssen Verantwortliche auf korrigierte Kernel-Builds aktualisieren.

Zusammenfassung

Jüngste Sicherheitslücken im Linux-Kernel und in Kernkomponenten haben Unternehmen neuen Risiken ausgesetzt. Zu den potenziellen Auswirkungen zählen lokale Rechteausweitung, Container-Escape, die Ausführung beliebiger Befehle, Speicherbeschädigung sowie RCE. Öffentlich zugängliche technische Analysen und Proof-of-Concept-Exploits erhöhen die Dringlichkeit. Bei der Priorisierung von Patches müssen Verantwortliche alle betroffenen Systeme identifizieren und die Kritikalität der Ressourcen, das Geschäftsrisiko, die Erreichbarkeit sowie die Ausnutzbarkeit berücksichtigen.