Linux-Kernel: Fehlende Checksummen-Validierung im IPv4-Stack

Zusammenfassung

Der IPv4-Stack des Linux-Kernels kann den Netzwerk-Header beschädigen, wenn ein Paket mit fehlerhaften Checksummen-Metadaten verarbeitet wird. Ein lokaler Benutzer oder eine nicht vertrauenswürdige Gast-VM kann solche Pakete senden, was laut einer öffentlichen Forschungsanalyse zu einer Offenlegung von Speicherinhalten und einem Absturz des Hosts führen kann. Der Fix ergänzt als Defence-in-Depth-Massnahme eine Prüfung von checksum_start; die CVSS-Bewertung unterscheidet sich zwischen den Quellen (9.3 im CVE-Eintrag, 8.8 bei Red Hat).

Betroffen

• Linux-Kernel ab 2.6.27 (eingeführt mit Commit f43798c27684ab925adde7d8acc34c78c6e50df8)
• Bis zu den Stable-Versionen, die unter 'fixed' bzw. 'Behoben' aufgeführt sind
• Red Hat: alle verfolgten Produkt-Streams als betroffen markiert

Behoben in

• Stable-Kernel: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.57, 7.2.11 und neuer
• Debian bookworm 6.1.190-1, trixie 6.12.113-1
• AlmaLinux 8: kernel-4.18.0-553.177.1.el8_10; AlmaLinux 9: kernel-5.14.0-687.59.1.el9_8; AlmaLinux 10: kernel-6.12.0-211.67.1.el10_2
• Andere Distributionen: Unbekannt, Herstellerhinweis prüfen

Umgehung

• Für den Kernel selbst: Unbekannt; ein gepatchter Kernel ist die einzige unterstützte Lösung.
• CloudLinux schlägt vor, ungetestet und nur teilweise wirksam: Checksummen-Offloading für nicht vertrauenswürdige Gäste deaktivieren und unprivilegierte User Namespaces deaktivieren. Das Deaktivieren des Checksummen-Offloadings kann die Leistung beeinträchtigen.

Ausnutzung

• In den Quellen wurde keine Ausnutzung in freier Wildbahn gefunden.
• Die Forschungsanalyse des Entdeckers (pwn.ai) beschreibt in einer Laborumgebung einen Ausbruch vom Gast zum Host mit Offenlegung von Host-Speicher und Absturz des Hosts.
• Öffentlicher Exploit-Code: nicht bestätigt.

Unsere Empfehlung

• Hypervisor-Hosts und gemeinsam genutzte Linux-Systeme identifizieren, auf denen nicht vertrauenswürdige Gäste oder lokale Benutzer existieren, und diese priorisieren.
• Das Kernel-Update des Herstellers sobald verfügbar installieren und neu starten, damit es geladen wird.
• Die Gegenmassnahmen nur als Übergangslösung einsetzen und vorher testen.
• Die Hinweise der eigenen Distribution überwachen; Einzelserver und Arbeitsstationen können dem regulären Patch-Zyklus folgen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (14 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  MChorfa/csumguard · PeronGH/CVE-2026-99999 · Quaerendir/cve-2026-99999-audit · kingahmadr/CVE-2026-99999-kernel-check · nsrg-fmlorg/kpatch-alma-cve-2026-99999

Quellen der Recherche

• Linux kernel stable commit 6785011f8b16 (fix) git.kernel.org
• AlmaLinux advisory for PwnEscape (CVE-2026-99999) almalinux.org
• Red Hat CVE page CVE-2026-99999 access.redhat.com
• Red Hat erratum RHSA-2026:87098 access.redhat.com
• Debian security tracker CVE-2026-99999 security-tracker.debian.org
• CloudLinux analysis of CVE-2026-99999 blog.cloudlinux.com
• Researcher write-up PwnEscape (pwn.ai) pwn.ai
• CIQ knowledge base: CVE-2026-99999 mitigation kb.ciq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:37.