Linux Kernel: Lokale Rechteausweitung im RISC-V-Ausnahmeeinstieg

Zusammenfassung

Auf RISC-V-Systemen entscheidet der Kernel anhand des vom Benutzer beschreibbaren Registers tp, ob der Zeiger des Shadow Call Stacks neu geladen wird, statt anhand des Hardware-Privilegbits sstatus.SPP. Ein lokaler Benutzer mit einem Konto mit niedrigen Rechten kann tp gezielt setzen, sodass der Kernel einen vom Benutzer kontrollierten gp-Wert weiterverwendet. Dies kann zu beliebigen Schreibzugriffen im Kernel und zur Übernahme des Kontrollflusses führen. Betroffen sind nur RISC-V-Kernel, die mit CONFIG_SHADOW_CALL_STACK gebaut wurden, und ein Angriff ist nur lokal möglich; ein direkter Angriff über das Netzwerk ist nicht möglich.

Betroffen

• Linux-Kernel ab 6.7.0 bis vor 6.12.113 (RISC-V mit CONFIG_SHADOW_CALL_STACK)
• Linux-Kernel ab 6.13.0 bis vor 6.18.57 (RISC-V mit CONFIG_SHADOW_CALL_STACK)
• Linux-Kernel ab 6.19.0 bis vor 7.2.11 (RISC-V mit CONFIG_SHADOW_CALL_STACK)
• Andere Architekturen sind nicht betroffen.

Behoben in

• Linux-Kernel 6.12.113, 6.18.57 und 7.2.11 sowie spätere Stable-Versionen, gemäss OSV
• Korrekturen in Distributions-Kerneln: Unbekannt.

Umgehung

Unbekannt. In den Quellen ist keine Workaround-Massnahme dokumentiert. Ein Neubau des Kernels ohne CONFIG_SHADOW_CALL_STACK würde den betroffenen Codepfad entfernen, ist aber nicht getestet und verändert die Kernel-Konfiguration.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog gelistet.
• Kein öffentlicher Proof of Concept gefunden; die Suche war eingeschränkt.
• EPSS-Wert 0.00175 (sehr niedrig).

Unsere Empfehlung

• Prüfen Sie, ob ein System einen RISC-V-Kernel mit Unterstützung für Shadow Call Stack einsetzt.
• Falls ja, installieren Sie das Kernel-Update der Distribution mit den Stable-Korrekturen, sobald es verfügbar ist.
• Beschränken Sie lokale Konten auf betroffenen Systemen, insbesondere auf gemeinsam genutzten Hosts, CI-Runnern und Edge-Geräten.
• Für alle anderen Architekturen ist neben dem regulären Kernel-Patching keine Massnahme nötig.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Linux kernel stable commit 37b4401ee6fa06046446d55e97e8d11784080843 git.kernel.org
• Linux kernel stable commit 4d0697f192975dab5985e921989be1d85cf580e9 git.kernel.org
• Linux kernel stable commit 6639735367a7d491977e9e5e7afc50b489d81d83 git.kernel.org
• Linux kernel stable commit 7d1367a53137e379498eb8791295e58854378636 git.kernel.org
• OSV entry CVE-2026-99018 osv.dev
• Ubuntu security tracker CVE-2026-99018 ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:28.