Linux-Kernel: Fehlerhafte Zero Extension in der Registerverfolgung des BPF-Verifiers
Zusammenfassung
Der BPF-Verifier des Linux-Kernels erkennt nicht immer korrekt, wann die oberen 32 Bit eines 64-Bit-Registers nach 32-Bit-Operationen auf null gesetzt werden müssen. Ein lokaler Benutzer, der BPF-Programme laden kann, könnte dadurch beliebige Werte in die obere Registerhälfte schreiben, was zu einer Rechteerweiterung und vollständigen Kompromittierung des Hosts führen kann. Für den Angriff ist ein lokaler Shell-Zugriff oder die Berechtigung zum Laden von BPF-Programmen nötig, er ist also nicht allein aus der Ferne ausnutzbar.
Betroffen
- Linux-Kernel ab dem Upstream-Commit 107e169799057bc6a379ddb625cbe1e51cfc7d72 bis vor dem Commit 7ce090afbf725e25fff29caacce1eaf8459b1117.
- Der CNA führt die betroffene Linie als 6.18 auf. Andere Quellen nennen 6.18.58 (Alpaquita linux-lts) und denselben Commit-Bereich.
- Red Hat Enterprise Linux 10: betroffen. Red Hat Enterprise Linux 6: nicht betroffen.
- Im Changelog des eigenen Kernels prüfen.
Behoben in
- Upstream-Fix: Commit 7ce090afbf725e25fff29caacce1eaf8459b1117 (Stable-Tree).
- Behobene Kernel-Versionen der Distributionen: Unbekannt.
- Ubuntu: Bewertung ausstehend, zum Zeitpunkt der Recherche kein gefixtes Paket gelistet.
Umgehung
- Keine Workaround-Massnahme des Herstellers dokumentiert. Status: Unbekannt.
- Empfohlene Massnahme (nicht aus einer Quelle): kernel.unprivileged_bpf_disabled auf einen restriktiven Wert setzen, soweit die Arbeitslasten es zulassen, und lokalen Shell-Zugriff auf Mehrbenutzer-Hosts einschränken.
Ausnutzung
- Nicht im CISA-KEV-Katalog gelistet.
- Bei der Recherche wurden kein öffentlicher Proof of Concept und kein Exploit-Code gefunden. Dies beweist nicht, dass keiner existiert.
Unsere Empfehlung
- Hosts mit einem betroffenen Kernel identifizieren (6.18-Linie bis vor dem Fix-Commit).
- Das Kernel-Update der Distribution einspielen, sobald der Hersteller einen gefixten Build bereitstellt; bis dahin im normalen Patch-Zyklus mit mittlerer Priorität für typische Server.
- Priorität erhöhen für geteilte, Mandanten- oder CI-Hosts sowie Container-Hosts, auf denen nicht vertrauenswürdige Benutzer oder Dienste lokalen Shell-Zugriff haben.
- Unprivilegiertes BPF und lokalen Shell-Zugriff wo möglich einschränken.
- Herstellerhinweise auf den ersten gefixten Build überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Linux stable kernel fix commit git.kernel.org
- OpenCVE: CVE-2026-98869 app.opencve.io
- Ubuntu security notice ubuntu.com
- OSV: BELL-CVE-2026-98869 osv.dev
- Strix CVE entry www.strix.ai
- threatint CVE entry cve.threatint.com
- LWN.net article lwn.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:52.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.