Linux Kernel: Fehler bei gleichzeitigen Schreibzugriffen auf AF_ALG-Crypto-Sockets

Zusammenfassung

Die AF_ALG-Crypto-Socket-Schnittstelle im Linux-Kernel erlaubte zwei gleichzeitige Schreibzugriffe auf denselben Socket, wodurch sich Daten in unvorhersehbarer Weise vermischen und der interne Socket-Zustand inkonsistent werden konnte. Ein lokaler Benutzer mit geringen Rechten kann dies zur Rechteausweitung nutzen, und CISA meldet aktive Ausnutzung. Der NVD-Eintrag bewertet die Schwachstelle mit CVSS 5.5 (AV:L/AC:L/PR:L), der Eintrag im KEV-Katalog macht sie jedoch für Mehrbenutzersysteme zu einer hohen Priorität.

Betroffen

• Linux-Kernel ab 2.6.38 bis zu den unten aufgeführten korrigierten Stable-Versionen
• Die genauen Bereiche unterscheiden sich je nach Stable-Zweig; prüfen Sie diese anhand der verlinkten kernel.org-Commits und der Sicherheitshinweise Ihrer Distribution

Behoben in

• Kernel-Pakete der Distribution, die den Upstream-Fix enthalten (bevorzugt)
• Upstream-Stable-Versionen: 5.10.245, 5.15.194, 6.1.154, 6.6.108, 6.12.49, 6.16.9
• Neuere Kernel-Versionen: Unbekannt, anhand der kernel.org-Commits prüfen

Umgehung

• Falls kein Patch verfügbar ist, das Modul af_alg sperren (zum Beispiel über /etc/modprobe.d/) und neu starten. Vorher testen, da Anwendungen, die AF_ALG nutzen, nicht mehr funktionieren.
• Ist af_alg direkt im Kernel eingebaut statt als Modul geladen, hat diese Massnahme keine Wirkung.

Ausnutzung

• CISA hat die Schwachstelle am 18.09.2026 aufgrund von Nachweisen aktiver Ausnutzung in den KEV-Katalog aufgenommen; Frist bis 21.09.2026.
• Ein öffentlicher Proof of Concept existiert, der Rechteausweitung und Container-Ausbruch in Googles kernelCTF zeigt.
• CISA hat keine Angriffsbedingungen oder Bedrohungsakteure veröffentlicht. Ein Einsatz bei Ransomware ist unbekannt.

Unsere Empfehlung

• Das Kernel-Update der Distribution mit dem Fix installieren und das System neu starten.
• Mehrbenutzer-Linux-Server, Shared Hosts, Container-Hosts und CI-Runner priorisieren.
• Bis zum Patch das Modul af_alg dort sperren, wo es möglich ist, und auf ungewöhnliche lokale Aktivitäten achten.
• Prüfen, auf welchen Systemen nicht vertrauenswürdige lokale Benutzer oder Workloads zugelassen sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (2 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  n1k0oowang/CVE-2025-39964_EXP · suominen/CVE-2025-39964

Quellen der Recherche

• Linux kernel stable commit 0f28c4ad git.kernel.org
• Linux kernel stable commit 1b34cbbf git.kernel.org
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• CISA alert on added KEV entries (2026-09-18) www.cisa.gov
• Red Hat CVE page access.redhat.com
• Google security research PoC write-up github.com
• NVD CVE-2025-39964 nvd.nist.gov
• BleepingComputer: active exploitation of Linux kernel flaws www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:04.