Linux Kernel: Shared-Frag-Markierung bei Socket-Buffer-Zusammenführung verloren

Zusammenfassung

Der Linux-Kernel erhält die Shared-Fragment-Markierung nicht, wenn Socket-Buffer in skb_try_coalesce() zusammengeführt werden. Die ESP-Eingabeverarbeitung überspringt dadurch das Copy-on-Write für diese Buffer und kann Daten direkt über seitencache-gestützte Fragmente entschlüsseln. Ein lokaler Angreifer mit niedrigen Rechten kann dies ausnutzen, um Daten zu verändern, die er nicht ändern dürfte, und Forschungshinweise beschreiben einen möglichen Pfad zur Rechteerweiterung. Die CISA führt die Schwachstelle als aktiv ausgenutzt.

Betroffen

• Linux-Kernel ab Commit cef401de7be8 (3.9 und neuer) bis zu den unten aufgeführten korrigierten Stable-Versionen, gemäss CNA-Eintrag
• Mainline-7.1-Release-Kandidaten: uneinheitlich in den Quellen, beim Hersteller prüfen

Behoben in

• Stable-Versionen 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33 und 7.0.10 sowie neuere
• Red Hat Enterprise Linux: Kernel-Errata RHSA-2026:19568 (RHEL 9), RHSA-2026:19569 (RHEL 10), RHSA-2026:19666 (RHEL 8)
• Andere Distributionen: Patches pro Release, Herstellerhinweise prüfen

Umgehung

Unbekannt.

Ausnutzung

• Die CISA hat die Schwachstelle am 28.10.2026 in den Katalog der bekanntermassen ausgenutzten Schwachstellen aufgenommen
• CISA SSVC: Ausnutzung aktiv, nicht automatisierbar, totale technische Auswirkung

Unsere Empfehlung

• Linux-Kernel auf eine korrigierte Version der Distribution oder des Stable-Zweigs aktualisieren
• Nach dem Patchen neu starten oder das verfügbare Livepatch installieren
• Systeme mit lokalem Benutzerzugang oder Shared Hosts identifizieren und priorisieren
• Auf unerwartete Änderungen an Dateien und auf Versuche der Rechteerweiterung überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (16 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  HORKimhab/CVE-2026-46300 · Sentebale/CVE-2026-46300 · 0xBlackash/CVE-2026-46300 · ExploitEoom/CVE-2026-46300 · First-John/cve_2026_frag_family_fix
• Metasploit-Modul exploit/linux/local/cve_2026_46300_fragnesia
• Exploit-DB EDB-ID 52591 29.05.2026

Quellen der Recherche

• Linux stable commit f84eca5817390257cef78013d0112481c503b4a3 git.kernel.org
• Linux stable commit 2f2b16022a2e10ca7bccfb98db5ed2ec0f72641c git.kernel.org
• Red Hat RHSA-2026:19569 access.redhat.com
• Red Hat RHSA-2026:19568 access.redhat.com
• Red Hat RHSA-2026:19666 access.redhat.com
• Tenable FAQ on CVE-2026-46300 www.tenable.com
• CISA KEV alert 2026-10-28 www.cisa.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:44.