Linux Kernel: Use-after-free in act_ct-Verbindungsverfolgung

Zusammenfassung

In der Verkehrssteuerungs-Aktion zur Verbindungsverfolgung (act_ct) des Linux-Kernels besteht eine Use-after-free-Schwachstelle. Verbindungshelfer speichern einen direkten Zeiger auf den Erweiterungsbereich in einer Erwartungsliste, und dieser Zeiger wird ungültig, wenn weitere Erweiterungen hinzugefügt und der Bereich neu alloziert wird. Ein späterer Zugriff beim Entfernen der Erwartung kann zu Speicherschäden, Abstürzen oder Codeausführung führen, jedoch nur auf Systemen, die act_ct-Regeln konfigurieren. Der CNA beschreibt den Auslöser als Netzwerkverkehr, während der CVSS-Vektor lokalen Zugriff mit niedrigen Berechtigungen voraussetzt; die tatsächliche Exponierung hängt daher von der lokalen Konfiguration ab.

Betroffen

• Upstream-Linux-Kernel ab 6.2, vor den korrigierten Stable-Versionen.
• Gemäss CNA und OSV sind die korrigierten Stable-Versionen 6.6.160 (Zweig 6.6), 6.12.112 (Zweig 6.12), 6.18.55 (Zweig 6.18) und 7.2.9 (Zweig 7.2).
• Distributions-Kernel verwenden eigene Paketversionen. Ubuntu 24.04 LTS und 26.04 LTS waren zum Zeitpunkt der Recherche noch als verwundbar gelistet.

Behoben in

• Upstream-Stable-Korrekturen: 6.6.160, 6.12.112, 6.18.55, 7.2.9 (oder neuer), gemäss CNA und OSV.
• Korrigierte Distributions-Kernel: Unbekannt. Prüfen Sie die Sicherheitsmitteilung Ihrer Distribution.

Umgehung

• Keine vom Hersteller bestätigte Workaround bekannt.
• Wenn keine tc-Regeln die Aktion zur Verbindungsverfolgung (ct) verwenden, ist der verwundbare Codepfad nicht erreichbar. Prüfen Sie dies auf jedem System mit der tc-Filterauflistung.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• EPSS-Wert 0.00168 (NVD-Spiegeldaten).
• Der CVSS-Basiswert ist umstritten: 7.8 (CVSS-3.1-Vektor in den CVE-Daten) gegenüber 10.0 (VulDB). Kein Wert von NVD oder CNA bestätigt.

Unsere Empfehlung

• Prüfen Sie, ob Linux-Systeme tc mit Verbindungsverfolgung (act_ct) nutzen, insbesondere Router, Firewalls und Open-vSwitch-Gateways.
• Installieren Sie das Kernel-Update Ihrer Distribution, sobald es verfügbar ist.
• Falls noch keine Korrektur verfügbar ist, schränken Sie den lokalen Zugriff ein und begrenzen Sie die Gateway-Funktionen auf betroffenen Systemen.
• Verfolgen Sie die Sicherheitsmitteilungen Ihrer Distribution.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Ubuntu security notice CVE-2026-98442 ubuntu.com
• Kernel stable commit 1679bbf5 git.kernel.org
• Kernel stable commit 31f5fe29 git.kernel.org
• Kernel stable commit 812c16a2 git.kernel.org
• Kernel stable commit 8988f4d1 git.kernel.org
• Kernel stable commit dad19b59 git.kernel.org
• VulDB entry 421782 vuldb.com
• OSV entry BELL-CVE-2026-98442 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:46.