Zum Inhalt springen
Alle Beiträge

· von NetProtector Security Team

CVE-2026-98432: Kritische Lücke im TCP-Stack des Linux-Kernels

Illustration: Netzwerkpakete strömen in einen Kernel-Chip, ein manipuliertes Paket verursacht einen Riss

Eine Schwachstelle im TCP-Stack des Linux-Kernels lässt sich ohne Anmeldung über das Netzwerk auslösen und kann im schlimmsten Fall zu Root-Rechten führen. Der Fehler steckt seit Linux 4.4 im Code – also seit fast zehn Jahren. Patches sind verfügbar, aber noch nicht in allen Distributionen angekommen.

Was ist CVE-2026-98432?

Es handelt sich um einen Use-after-free-Fehler in der Verarbeitung von IPv4-TCP-Verbindungen, bewertet mit CVSS 3.1 9.8 (kritisch). Beim Verbindungsaufbau übergibt der Kernel IPv4-Optionen vom Verbindungswunsch an den neuen Socket. Seit Linux 4.4 laufen diese Schritte ohne Sperre des lauschenden Sockets. Trifft ein wiederholtes SYN-Paket auf einem anderen Prozessorkern ein, während der neue Socket gerade freigegeben wird, liest der Kernel bereits freigegebenen Speicher.

Für einen Angriff braucht es:

  • Netzwerkzugriff auf einen IPv4-TCP-Dienst eines ungepatchten Systems,
  • ein Verbindungspaket mit IPv4-Optionen (z. B. Record Route oder Timestamp) und dessen Wiederholung,
  • keine Zugangsdaten und keine Mitwirkung eines Nutzers.

Ein verlorenes Rennen lässt nur den Verbindungsaufbau scheitern – ein Angreifer kann es also beliebig oft versuchen.

Wie gefährlich ist das konkret?

Ein Forscher von Anthropic hat den Fehler gemeldet. Am 27. Oktober 2026 berichtete Anthropic von einem Exploit, der auf Servern mit einem Multipath-TCP-Listener (MPTCP) Root-Rechte erlangt; veröffentlicht wurde er nicht. Nach Stand Anfang November war kein funktionierender öffentlicher Exploit bekannt und die Lücke nicht im KEV-Katalog der US-Behörde CISA gelistet. Das kann sich schnell ändern.

Wichtig: Das Go-Sicherheitsteam weist darauf hin, dass Go ab Version 1.24 MPTCP auf Linux-Listenern standardmäßig aktiviert. Dienste in Go können also die Voraussetzung für den bekannten Exploit erfüllen, ohne dass das jemand bewusst eingeschaltet hat.

Betroffene und behobene Versionen

Betroffen sind alle Kernel ab 4.4 ohne Fix. Behoben ist der Fehler in Linux 7.3 sowie in den Stable-Versionen 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 und 7.2.10. Debian, SUSE, Oracle Linux und Amazon Linux haben für Teile ihrer Releases bereits korrigierte Kernel ausgeliefert, Red Hat stuft die Lücke als kritisch ein; für RHEL und Ubuntu standen Ende Oktober noch Updates aus, für RHEL wurden sie laut Berichten Anfang November nachgeliefert. Den aktuellen Stand liefert das Advisory Ihrer Distribution.

Was Sie jetzt tun sollten

  1. Kernel aktualisieren und neu starten – ein installierter, aber nicht gebooteter Kernel schützt nicht. Mit uname -r prüfen, was tatsächlich läuft.

  2. Bis zum Update Angriffsfläche verkleinern:

    sysctl -w net.mptcp.enabled=0
sysctl -w net.ipv4.tcp_migrate_req=0

    Dauerhaft wird das über eine Datei in /etc/sysctl.d/. Das senkt die Wahrscheinlichkeit, verhindert eine Ausnutzung aber nicht vollständig.

  3. MPTCP-Listener finden: ss -M -l -n -p zeigt Dienste, die Multipath TCP anbieten – besonders Go-Anwendungen prüfen.

  4. IPv4-Optionen filtern, wo es geht: Pakete mit IP-Optionen am Perimeter zu verwerfen, schützt exponierte Dienste zusätzlich. Testen Sie vorher, ob Anwendungen darauf angewiesen sind.

Unsere Einschätzung

Netzwerkseitig ausnutzbare Kernel-Lücken sind selten, aber besonders unangenehm: Sie betreffen jeden Dienst, nicht nur eine Anwendung, und auch Appliances, Router oder Container-Hosts, die Linux im Kern tragen. Neben zügigem Patchen hilft eine Netzwerkarchitektur, die nur die Dienste erreichbar macht, die wirklich erreichbar sein müssen – und eine Intrusion Prevention, die ungewöhnliche Pakete wie TCP-Verbindungen mit IP-Optionen erkennt und blockieren kann.

Quellen