Linux kernel vsock: Race Condition in connect() kann Speicher beschädigen

Zusammenfassung

Das vsock-Subsystem (VM Sockets) des Linux-Kernels enthält eine Race Condition zwischen connect() und einem OP_RST-Reset. Ein Socket, der noch in der Connected-Tabelle steht, kann zurückgesetzt werden, wodurch Kernel-Listenstrukturen beschädigt werden und das System abstürzen kann. Gemäss CNA-Eintrag sind Kernel ab Version 3.9 bis zu den korrigierten Stable-Releases betroffen. Der Melder hat Abstürze reproduziert, und der CVSS-Vektor weist auf hohe Auswirkungen hin, doch der Angriffsvektor ist zwischen lokal und remote umstritten, und NVD hatte die Analyse noch nicht abgeschlossen.

Betroffen

• Linux-Kernel mit vsock-Subsystem, ab 3.9 bis zu den korrigierten Stable-Releases
• Gemäss CNA-Eintrag sind die Zweige 5.10, 5.15, 6.1, 6.6, 6.12 und 6.18 sowie 7.2 bis zu den unten aufgeführten korrigierten Versionen betroffen

Behoben in

• 5.10.273, 5.15.224, 6.1.191, 6.6.161, 6.12.115, 6.18.59 und 7.2.13 (gemäss CNA-Eintrag und OSV)
• Kernel-Versionen der Distributionen: Unbekannt.

Umgehung

• Keine Workaround des Herstellers dokumentiert.
• Übergangsmassnahme (allgemeine Empfehlung, nicht aus einer Quelle): Auf Hosts, die vsock nicht verwenden, die vsock-Transportmodule entladen. Vorher testen, da VM-Management-Agenten davon abhängen können.

Ausnutzung

• Nicht bekannt, dass die Lücke ausgenutzt wird; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.
• Kein öffentlicher Exploit bekannt; der Melder hat Abstürze reproduziert.

Unsere Empfehlung

• Den Linux-Kernel auf ein korrigiertes Stable-Release der Distribution oder von kernel.org aktualisieren.
• Virtualisierungs-Hosts und Systeme priorisieren, auf denen nicht vertrauenswürdige lokale Benutzer Code ausführen.
• Die Sicherheitsmeldung der Distribution prüfen, da einige Distributionen die CVE noch als in Prüfung führen und der Upstream-Fix unvollständig sein kann.
• Kernel-Logs auf list_add- oder BUG-Meldungen aus dem vsock-Code überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Linux kernel stable commit 44d1ca05 git.kernel.org
• Linux kernel stable commit ea36ef3c git.kernel.org
• Linux kernel stable commit f89770c7 git.kernel.org
• Strix CVE analysis www.strix.ai
• VulDB entry 427940 vuldb.com
• Red Hat security data access.redhat.com
• Ubuntu security tracker ubuntu.com
• Patch review discussion (mail archive) www.mail-archive.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:56.