Linux-Kernel: Fehlerhafte Verbindungszustandsbehandlung im Hyper-V-VMBus-Treiber

Zusammenfassung

Der VMBus-Treiber des Linux-Kernels (drivers/hv) setzt den Verbindungszustand auf zwei Fehler- und Beendigungspfaden auf DISCONNECTED. Dadurch wird die Verbindung nicht entladen, sodass der Hyper-V-Host weiterhin Nachrichten senden und Interrupts auslösen kann. Betroffen sind Linux-Gäste, die auf Hyper-V oder Azure laufen. Ein Angreifer benötigt lokalen Zugriff und Berechtigungen innerhalb des Gastsystems, daher betrifft die Auswirkung hauptsächlich die Integrität und Verfügbarkeit des Gastsystems.

Betroffen

• Linux-Kernel-Versionen ab Commit 74347a99e73ae (ab 5.7 enthalten), gemäss OSV und den CNA-Daten. Die Quellen widersprechen sich bei den genauen Bereichen.
• Linux-Kernel-Stable-Zweige vor den unten genannten korrigierten Versionen.
• Distributions-Kernel sind nicht verifiziert. Ubuntu stuft seine Pakete als Needs evaluation ein.

Behoben in

• Upstream-Stable-Korrekturen sind im CVE-Eintrag aufgeführt (zum Beispiel Commits ec31dc39e835ccde0930daccece8c492d28282fc und f47ce27af80b87cc684d5c12b65506af498ac7e5).
• Gemäss OSV korrigiert in 5.10.273, 5.15.224, 6.1.191, 6.6.161, 6.12.115, 6.18.59 und 7.2.13.
• Korrigierte Builds einzelner Distributionen: Unbekannt.

Umgehung

Keine dokumentiert. Einen korrigierten Kernel installieren und neu starten.

Ausnutzung

Nicht bekannt, dass die Schwachstelle ausgenutzt wird. Ein Drittanbieter-Tracker meldet keinen Eintrag im KEV-Katalog und keinen öffentlichen Exploit. Es wurde kein öffentlicher Proof of Concept gefunden. Die Korrektur wurde durch Code-Review identifiziert.

Unsere Empfehlung

• Linux-VMs erfassen, die auf Hyper-V oder Azure laufen.
• Die Kernel-Sicherheitsmitteilung der Distribution auf CVE-2026-99216 und die korrigierte Kernel-Version prüfen.
• Den korrigierten Kernel installieren und einen Neustart planen.
• Auf Multi-Tenant-Hosts oder Hosts mit nicht vertrauenswürdigen Workloads priorisieren.
• Ansonsten als routinemässiges Kernel-Patching behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record via Ubuntu ubuntu.com
• Kernel patch posting (Michael Kelley) www.mail-archive.com
• Stable commit ec31dc39e835ccde0930daccece8c492d28282fc git.kernel.org
• Stable commit f47ce27af80b87cc684d5c12b65506af498ac7e5 git.kernel.org
• Stable commit 2939215d57bc8e4189290544fca78f3809ac3ef8 git.kernel.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:56.