Linux Kernel: Use-after-free in TCP-SYN-ACK-Verarbeitung

Zusammenfassung

Der TCP-Stack des Linux-Kernels enthält ein Use-after-free in tcp_send_synack(). Ein veralteter Retransmit-Hinweis zeigt noch auf einen freigegebenen SYN-Paketpuffer und kann bei der Neuübertragung verwendet werden, was zu einem Kernel-Absturz oder einer Speicherbeschädigung führen kann. Gemäss der Beschreibung kann ein nicht privilegierter TCP-Fast-Open-Client die Schwachstelle über das Netzwerk auslösen, indem er eine manipulierte ICMP-Meldung für notwendige Fragmentierung und ein gleichzeitiges Open verwendet. Der CVSS-Wert beträgt 8.8, der NVD-Status war zum Zeitpunkt der Recherche aber noch Received.

Betroffen

• Linux-Kernel ab 5.11 bis zu den unten aufgeführten korrigierten Stable-Versionen
• Stable-Zweige vor ihren Korrekturen: 5.15, 6.1, 6.6, 6.12, 6.18 und 7.2
• Versionen 7.3 und neuer: Der CNA-Eintrag ist widersprüchlich; bitte beim Hersteller prüfen
• Distributions-Kernel: abhängig vom Patch-Stand des Herstellers; betroffene Debian-Versionen sind auf OSV aufgeführt

Behoben in

• Upstream-Stable-Kernel 5.15.222, 6.1.189, 6.6.158, 6.12.112, 6.18.55 und 7.2.9 oder neuer
• Korrektur-Commits umfassen 0f87720c7e4bcab07c24888b3cf12bfe857bb90e und weitere in den Quellen aufgeführte Commits
• Korrigierte Paketversionen der Distributionen: Unbekannt.

Umgehung

• TCP Fast Open mit sysctl net.ipv4.tcp_fastopen = 0 deaktivieren (nur Übergangslösung, behebt den Kernel nicht)
• Keine Livepatch-Abdeckung bestätigt

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
• Kein öffentlicher Proof of Concept gefunden
• In den durchgeführten Recherchen nicht im CISA-KEV-Katalog gefunden
• EPSS 0.00293 (niedrig)

Unsere Empfehlung

• Das Kernel-Update Ihrer Distribution im regulären Update-Zyklus installieren und danach neu starten
• Systeme mit aktiviertem TCP Fast Open und aus dem Internet erreichbare Systeme priorisieren
• Prüfen, ob net.ipv4.tcp_fastopen aktiviert ist, und dort deaktivieren, wo es nicht benötigt wird
• Nicht mit CVE-2026-98432 verwechseln, das ein separates Problem ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Linux stable kernel fix commit 0f87720c7e4bcab07c24888b3cf12bfe857bb90e git.kernel.org
• Linux stable kernel fix commit fad6d429651e748365e93ca54645accc212f0018 git.kernel.org
• OSV: CVE-2026-98374 osv.dev
• OSV: DEBIAN-CVE-2026-98374 osv.dev
• SentinelOne vulnerability database: CVE-2026-98374 www.sentinelone.com
• Linux TCP Fast Open use-after-free analysis linuxsecurity.com
• SUSE CVE summary via Vulners vulners.com
• OpenCVE: CVE-2026-98374 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:24.