Linux Kernel net/sched act_ct: Use-after-free durch geteilten unbestätigten Conntrack-Eintrag

Zusammenfassung

Die Conntrack-Aktion act_ct der Linux-Kernel-Verkehrssteuerung kann einen unbestätigten Conntrack-Eintrag verändern, der zwischen zwei Klonen desselben Pakets geteilt wird. Dies kann bei der Zerstörung zu einem Use-after-Free führen, was einen Absturz oder eine Speicherbeschädigung verursachen kann. Nur Systeme, die act_ct in tc-Regeln einsetzen, sind betroffen, und die Angriffsbedingungen sind aus den Quellen nicht vollständig klar.

Betroffen

• Linux-Kernel ab 6.2, wobei der Fehler durch Commit a21b06e7319129994f339ed47f512bbe57b77f5b eingeführt wurde (OSV-Bereiche: 6.2.0 bis vor 6.12.112; 6.13.0 bis vor 6.18.55; 6.19.0 bis vor 7.2.9)
• Die Quellen widersprechen sich beim genauen Bereich: Der CNA-Eintrag listet die betroffenen Versionen anders auf, und VulDB nennt bis 6.12.111, 6.18.54 und 7.2.8
• Ubuntu 24.04 (Kernel 6.8.0-148.148) und 26.04 (Kernel 7.0.0-42.42) sind als verwundbar markiert
• Ubuntu 22.04 und älter sind als nicht betroffen markiert
• Nur Systeme, die act_ct in tc-Regeln verwenden, sind relevant

Behoben in

• Behoben in den Stable-Kerneln 6.6.160, 6.12.112, 6.18.55 und 7.2.9 (gemäss OSV)
• Behebende Commits: 2b783c562c3238ff50c34fd7a72a735c9cc73d9a, 4a04ed91575819fb1859311113e95700b709bec7, b097d9d7a5b09c8ec5c4c1a08e35ac5a66b06b44, c812bb4aea13d385d048b5b24756aee2edf6f99e, f85009dfcd65e5969526b0db7a49b5413746e630
• Ubuntu 24.04 und 26.04: Behebungen sind noch in Arbeit
• Behobene Paketversionen für Debian, Red Hat und SUSE: Unbekannt.

Umgehung

• Unbekannt. In den Quellen ist keine Workaround dokumentiert.
• Eigene Einschätzung (nicht aus einer Quelle): Falls Systeme act_ct in tc-Regeln nicht benötigen, diese Regeln bis zum Kernel-Patch entfernen.

Ausnutzung

• Laut Beschreibung ist der Auslöser möglich, aber keine bekannte praktische Netzwerkpipeline benötigt ihn.
• Nicht in CISA KEV gelistet (Momentaufnahme von Strix; erneut prüfen).
• Kein öffentlicher Proof of Concept gefunden. Dies belegt nicht, dass keiner existiert.
• Die Exploit-Preisschätzungen von VulDB sind eine Marktangabe und kein Beleg für eine Ausnutzung.

Unsere Empfehlung

• Prüfen, ob Systeme act_ct in tc-Regeln verwenden (tc filter show, act_ct-Aktion).
• Falls nicht benötigt, diese Regeln jetzt entfernen.
• Das Kernel-Update der Distribution oder einen Stable-Kernel mit dem Fix einspielen, sobald verfügbar.
• Nach dem Patchen und Neustart die Kernel-Version bestätigen.
• Die verwandte Open-vSwitch-Schwachstelle CVE-2026-98491 verfolgen, falls OVS-Conntrack eingesetzt wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• kernel.org stable commit f85009d git.kernel.org
• kernel.org stable commit 2b783c5 git.kernel.org
• OSV CVE-2026-98441 osv.dev
• Ubuntu Security CVE-2026-98441 ubuntu.com
• Red Hat CVE data via Vulners vulners.com
• VulDB 421775 vuldb.com
• Strix CVE-2026-98441 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:46.