Linux Kernel ipset: Sperrfehler in der netfilter-RCU-Behandlung

Zusammenfassung

Ein Fehler bei der Sperrlogik in der ipset-Komponente des Linux-Kernel-Subsystems netfilter betrifft die Verwendung von RCU-Lesesperren beim Ändern von Referenzzählern und bei der Speicherbereinigung in den Hash-Set-Typen. Der CNA-Eintrag beschreibt ein Problem der Sperrlogik und nennt keine konkrete Sicherheitsauswirkung. Gemäss dem CNA-CVSS-Vektor benötigt ein Angreifer ein lokales Konto mit niedrigen Rechten und ohne Benutzerinteraktion, die Auswirkung wird für Vertraulichkeit, Integrität und Verfügbarkeit als hoch bewertet.

Betroffen

• Linux-Kernel-Versionen mit dem ipset-Code aus dem betroffenen Commit-Bereich (CNA-Eintrag nennt 5.4.24 bis vor 5.5 und 5.5.8 bis vor 5.6 sowie betroffen ab 5.6 bis zu den korrigierten Stable-Versionen; Bereiche nicht vollständig verifiziert)
• Korrigierte Stable-Zweige laut Drittquelle: 5.10.271, 5.15.222, 6.1.189, 6.6.158, 6.12.111, 6.18.53 (nicht gegen kernel.org verifiziert)

Behoben in

• Upstream-Fix-Commits: 0c46c9ce24130657ec7460c27fba5d445f5abd06, 5d0c22e73656d050daffad10a2ba8765ce8441c8, 67bd3d2350d17c2f4fb158c3f917c10b15ecbc94, 892399abd1a005a455d5b74d86d82b9773405f2b, ca9fab1ca15534cef1630e81a479e94b3bbcdb6a, ecb48c6b9edc78de8dd456c365727ae14b88c1ee, eee5172741b2c0e73210020732043e5d589295d3
• Distributionskorrekturen: Alpaquita linux-lts 6.1.189-r0, 6.12.111-r0, 6.18.53-r0 (gemäss OSV)
• Ubuntu: Status zum Zeitpunkt der Recherche 'Needs evaluation'; korrigierte Paketversion im Tracker der Distribution prüfen

Umgehung

Unbekannt.

Ausnutzung

• Keine bekannte Ausnutzung.
• Kein CISA-KEV-Eintrag, kein Ausnutzungsbericht und kein öffentlicher Proof of Concept in der Recherche gefunden. Dies beweist nicht, dass kein Exploit existiert.

Unsere Empfehlung

• Prüfen, ob Linux-Systeme ipset verwenden und ob unvertrauenswürdige lokale Benutzer oder gemeinsam genutzte Konten existieren.
• Das Kernel-Update der Distribution im nächsten Wartungsfenster einspielen, auf Mehrbenutzersystemen früher, und das System neu starten, um den neuen Kernel zu aktivieren.
• Im Sicherheitstracker der Distribution die korrigierte Paketversion prüfen.
• Lokalen Shell-Zugriff einschränken und festlegen, wer Firewall-Sets verwalten darf, als zusätzliche Härtung.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Linux kernel stable commit 0c46c9ce git.kernel.org
• Linux kernel stable commit 5d0c22e7 git.kernel.org
• Linux kernel stable commit 67bd3d23 git.kernel.org
• NVD via Vulners vulners.com
• OSV via Vulners vulners.com
• Ubuntu CVE tracker ubuntu.com
• Alpaquita OSV advisory BELL-CVE-2026-98899 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:41.