Linux-Kernel: Pseudo-Dentry kann Mount-Root werden (Race Condition)
Zusammenfassung
Im Linux-Kernel kann ein Pseudo-Dentry, das für Pipes, Sockets und ähnliche Dateien erstellt wird, zur Wurzel eines Bind-Mounts werden, beispielsweise über /proc/self/fd/<fd> einer BPF-Token-Datei. Ein gleichzeitiger Pfadzugriff kann danach auf ein zu früh freigegebenes Dentry zugreifen, was zu einem Speicherfehler führen kann. Ein Angreifer mit lokalem Zugriff und niedrigen Privilegien kann das System möglicherweise zum Absturz bringen oder höhere Rechte erlangen; der offizielle CVSS-Wert beträgt 7.8 (Hoch).
Betroffen
- Linux-Kernel ab 6.9 bis vor 6.12.113, 6.18.57 und 7.2.11 (gemäss CVE-Eintrag und OSV)
- Mainline- und andere Kernel-Zweige müssen anhand der referenzierten kernel.org-Stable-Commits geprüft werden
- Distributions-Kernel können Backports enthalten; Advisory des Herstellers prüfen
Behoben in
- Linux-Kernel 6.12.113
- Linux-Kernel 6.18.57
- Linux-Kernel 7.2.11
- Behebende Commits: 00287afa7cd989efdbf5822b7efac33cce7d489a, 7e1c466011ba9e64d43075396badc03191bcee44, a256e31e0c54c4c37d2523aa52faabdcdd2ebc07, b138e16fb1e81376cea89f727dda7bfccd140de4
Umgehung
- Kein Workaround des Herstellers dokumentiert.
- Erstellung von Mounts und die Nutzung von BPF-Tokens auf Mehrbenutzersystemen einschränken, bis der Kernel gepatcht ist.
Ausnutzung
- Zum Zeitpunkt der Recherche (Stand 1. November 2026) keine bekannte Ausnutzung in freier Wildbahn.
- Zum Zeitpunkt der Recherche kein öffentlicher Proof-of-Concept bekannt.
Unsere Empfehlung
- Prüfen, ob der Distributions-Kernel den Fix enthält, und das Hersteller-Update im nächsten Wartungsfenster installieren.
- Gemeinsam genutzte Linux-Hosts, CI-Runner und Server priorisieren, auf denen nicht vertrauenswürdige lokale Benutzer oder Code laufen können.
- Mount- und BPF-Token-Berechtigungen auf Mehrbenutzersystemen einschränken, bis gepatcht wurde.
- Nach dem Kernel-Update neu starten, damit der gepatchte Kernel aktiv ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- kernel.org stable commit 00287afa7cd989efdbf5822b7efac33cce7d489a git.kernel.org
- kernel.org stable commit 7e1c466011ba9e64d43075396badc03191bcee44 git.kernel.org
- kernel.org stable commit a256e31e0c54c4c37d2523aa52faabdcdd2ebc07 git.kernel.org
- kernel.org stable commit b138e16fb1e81376cea89f727dda7bfccd140de4 git.kernel.org
- Ubuntu security notice CVE-2026-98982 ubuntu.com
- OSV entry via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:35.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.