Linux-Kernel: Use-after-free in IP-Optionen des IPv4-TCP-Handshakes

Zusammenfassung

Eine Schwachstelle im IPv4-TCP-Handshake-Code des Linux-Kernels ermöglicht einen Use-after-free-Zugriff auf IP-Optionen eines TCP-Child-Sockets. Ein wiederholt gesendetes SYN, das auf einer anderen CPU verarbeitet wird, kann den Fehler auslösen, während ein SYN-ACK noch aufgebaut wird. Der CVSS-Basiswert beträgt 9.8 (Critical); der CVE-Eintrag beschreibt keine Authentifizierungsvoraussetzung für den Auslösepfad, und das Risiko ist bei exponierten TCP-Listenern am grössten.

Betroffen

• Linux-Kernel ab Commit 079096f103fa (eingeführt in 4.4) bis zu den unten aufgeführten korrigierten Stable-Versionen
• Gemäss CVE-Eintrag nicht betroffen: Versionen vor 4.4 und die korrigierten Stable-Zweige
• Die Kernel der Distributionen unterscheiden sich; der Status jeder Distribution muss im jeweiligen Herstellerhinweis geprüft werden

Behoben in

• Upstream-Stable-Zweige: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 und 7.3 oder neuer
• Kernel-Versionen der Distributionen: Hinweis Ihres Herstellers prüfen (z. B. Debian, SUSE, Oracle Linux, Amazon Linux, Ubuntu, Red Hat); die Angaben aus Sekundärquellen sind uneinheitlich
• Upstream-Fix-Commit: e3f33b0a1d89d738e2b913dab519226eaf76e15b

Umgehung

• Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround verfügbar.
• Die Einstellung net.ipv4.tcp_migrate_req wird als Auslösepfad genannt, jedoch hat kein Hersteller sie als Massnahme dokumentiert; sie nicht ohne schriftliche Bestätigung Ihrer Distribution ändern.

Ausnutzung

• Gemäss Recherchestand (30. Oktober 2026) ist keine Ausnutzung in freier Wildbahn bestätigt.
• Nach bekanntem Stand ist die Schwachstelle zu diesem Datum nicht im Katalog known exploited vulnerabilities der CISA aufgeführt.

Unsere Empfehlung

• Alle Linux-Systeme mit einem Kernel ab 4.4 ermitteln, die eingehende TCP-Verbindungen annehmen, einschliesslich Appliances und virtueller Maschinen.
• Das Kernel-Update Ihrer Distribution sobald verfügbar installieren und das System neu starten.
• Bis zur Installation des Fixes die Erreichbarkeit von TCP-Diensten einschränken und den Herstellerhinweis auf Updates überwachen.
• Auf ungewöhnliche Kernel-Abstürze oder wiederholten SYN-Verkehr auf kritischen Diensten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (25 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Quaerendir/cve-2026-98432-audit · suominen/CVE-2026-98432 · nsrg-fmlorg/kpatch-cve-2026-98432 · typhoon1217/cve-2026-98432-mitigation · axisops/CVE-2026-98432

Quellen der Recherche

• Upstream fix commit e3f33b0a1d89d738e2b913dab519226eaf76e15b git.kernel.org
• GitHub Security Advisory GHSA-qp6h-4hvh-qqqc github.com
• Debian Security Tracker CVE-2026-98432 security-tracker.debian.org
• Red Hat Bugzilla tracking bug 2553390 bugzilla.redhat.com
• The Hacker News: Linux kernel TCP flaw with 9.8 CVSS thehackernews.com
• oss-security mailing list post www.openwall.com
• CIRCL CVE record CVE-2026-98432 cve.circl.lu
• Ubuntu and RHEL fix status analysis (Aviatrix) aviatrix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:48.