Linux-Kernel: Use-after-free bei Löschung von Port-Gruppen in der Bridge-Multicast-MDB
Zusammenfassung
Ein Fehler in der Multicast-Snooping-Datenbank (MDB) der Linux-Kernel-Bridge kann nach dem Löschen von Port-Gruppen einen hängenden Zeiger hinterlassen. Ein lokaler Benutzer mit niedrigen Berechtigungen, der die Bridge-Konfiguration ändern kann, könnte einen Use-after-free im MDB-Dump-Pfad auslösen, was zu einem Absturz führen oder die Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen kann. Das Problem ist nicht direkt aus dem Internet erreichbar und erfordert lokalen Zugriff mit einer gewissen Berechtigung.
Betroffen
- Linux-Kernel ab 6.8 bis (ohne) 6.12.112
- Linux-Kernel ab 6.13 bis (ohne) 6.18.55
- Linux-Kernel ab 6.19 bis (ohne) 7.2.9
- Ubuntu 24.04 LTS (noble) und 26.04 LTS (resolute): laut Ubuntu verwundbar, Korrekturen in Arbeit
- Ubuntu 22.04, 20.04 und 26.10: laut Ubuntu nicht betroffen
Behoben in
- Upstream-Stable-Kernel 6.12.112, 6.18.55 und 7.2.9 sowie neuer
- Ubuntu 24.04: Korrektur in Arbeit in 6.8.0-148.148
- Ubuntu 26.04: Korrektur in Arbeit in 7.0.0-42.42
- Exakte korrigierte Version für 7.0.x-Stable: Unbekannt.
Umgehung
- Keine vom Hersteller veröffentlichte Umgehungslösung bekannt.
- Einschränken, wer Bridge- oder Netzwerkkonfigurationen ändern kann, zum Beispiel Netzwerkadministrationsrechte in Containern oder VMs.
- Auswirkung der Deaktivierung von Multicast-Snooping auf diesen Pfad: Unbekannt.
Ausnutzung
- CISA KEV: nicht gelistet.
- Öffentlicher Proof of Concept: keiner gefunden.
- In freier Wildbahn ausgenutzt: nichts bekannt.
- Der KASAN-Trace in der Beschreibung ist ein Absturzbericht, kein Exploit.
Unsere Empfehlung
- Das Kernel-Update Ihrer Distribution installieren, sobald es verfügbar ist.
- Prüfen, ob Hosts mit Bridges, Hypervisoren oder Container-Hosts mit nicht vertrauenswürdigen lokalen Benutzern betrieben werden, und diese priorisieren.
- Bei Ihrer Distribution die korrigierte Paketversion erfragen, besonders für 7.0.x-Kernel.
- Die laufende Kernel-Version nach dem Neustart überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Linux kernel stable commit 46ec55855c972504258c371677ac039ba20e5d12 git.kernel.org
- Linux kernel stable commit ab1404ac81154a89fb61ac50ae9a04cd8d4834dc git.kernel.org
- Linux kernel stable commit ab3c4a4c85f2e1e8d04b5c1770dea8412d21c7fe git.kernel.org
- Linux kernel stable commit fe2a42789c12eb7c5d3a42191e2cc735a6c35ead git.kernel.org
- OSV record CVE-2026-98487 osv.dev
- Ubuntu security notice CVE-2026-98487 ubuntu.com
- Alpaquita OSV record BELL-CVE-2026-98487 osv.dev
- Strix CVE-2026-98487 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:45.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.