RED Hat hat Kernel-Updates für eine kritische Use-after-free-Schwachstelle im IPv4-TCP-Code von Linux veröffentlicht. Die als CVE-2026-98432 geführte Schwachstelle kann aus der Ferne und ohne Authentifizierung ausgelöst werden und möglicherweise die Ausführung von Code ermöglichen. Das CVE-Team des Linux-Kernels bewertet sie auf der CVSS-Skala mit 9,8 von 10; Red Hat stufte seine Einschätzung von „Moderate“ auf „Critical“ hoch und bewertete sie ebenfalls mit 9,8.

Der Fehler tritt auf, wenn ein Server eine IPv4-TCP-Verbindung annimmt und der Kernel die mit der Anfrage übermittelten IP-Optionen verarbeitet. Sendet ein Client die Anfrage erneut, während ein anderer Prozessor diese Optionen noch ausliest, kann der Kernel auf bereits freigegebenen Speicher zugreifen. Ausgelöst wird der Fehler durch Verbindungsanfragen mit IPv4-Record-Route- oder Timestamp-Optionen an einen lauschenden TCP-Port. Der Hauptpfad von IPv6 ist nicht betroffen.

Red Hat veröffentlichte am 1. November Updates für RHEL 8, 9 und 10. Die korrigierten Kernel sind 4.18.0-553.182.1.el8_10 für RHEL 8.10, 5.14.0-687.64.1.el9_8 für RHEL 9.8 und 6.12.0-211.72.1.EL10_2 für RHEL 10.2. Nach der Installation müssen die Systeme neu gestartet werden.

Canonical teilte am 2. November mit, dass Fixes für Ubuntu 22.04 LTS, 24.04 LTS und 26.04 LTS im -proposed-Pocket verfügbar sind, einem optionalen Testkanal, dessen Pakete nicht automatisch installiert werden. Die vorgeschlagenen Kernel-Versionen sind 5.15.0-203.213, 6.8.0-149.149 beziehungsweise 7.0.0-43.43. Canonical hat nicht bekannt gegeben, wann sie den regulären Update-Kanal erreichen. Für Ubuntu 20.04, 18.04 und 16.04 gibt es noch keine Fixes.

Red Hat hat außerdem eine nftables-Regel veröffentlicht, die eingehende IPv4-TCP-Pakete mit IP-Optionen verwerfen soll. Das Unternehmen erklärt, die Regel blockiere den bekannten Auslöser, verhindere eine Ausnutzung der Schwachstelle jedoch nicht vollständig und könne Workloads beeinträchtigen, die auf IPv4-Optionen angewiesen sind. Sie gilt nur für den Host, auf dem sie geladen wird; Datenverkehr zwischen Containern auf demselben Host kann sie umgehen.

Kein Anbieter, kein CERT und auch nicht das CVE-Team des Kernels hat Angriffe gemeldet, bei denen die Schwachstelle ausgenutzt wurde. In der am 30. Oktober veröffentlichten Ausgabe war sie auch nicht im Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) der CISA aufgeführt. Anthropic erklärte, ein nicht veröffentlichtes internes Forschungsmodell habe einen Remote-Root-Exploit für Linux-Server mit einem MPTCP-Listener erstellt; der Exploit-Code wurde jedoch nicht veröffentlicht. Auf GitHub ist Proof-of-Concept-Code erschienen, der die Race Condition auslöst, aber keine Codeausführung ermöglicht.

Debian, Oracle Linux und SUSE veröffentlichten im Oktober Fixes. Amazon Linux bewertete das Problem mit 8,1 und als „Important“, verwies dabei auf einen Absturz mit möglicher Speicherkorruption und erklärte, die betroffenen Pakete zwischen dem 24. und 30. Oktober aktualisiert zu haben.

Quellen: The Hacker News.