15 Jahre alte Linux-Kernel-Schwachstelle ermöglicht Erlangung von Root-Rechten und Ausbruch aus Containern

Sicherheitsforscher von Nebula Security haben eine seit Langem bestehende Linux-Kernel-Schwachstelle offengelegt, die als CVE-2026-43499 geführt und GhostLock genannt wird. Sie kann es lokalen Benutzern ermöglichen, auf nicht aktualisierten Systemen vollständige Root-Rechte zu erlangen. Das Problem besteht den Angaben zufolge seit 2011 im Kernel und war in den Standardkonfigurationen der meisten großen Linux-Distributionen vorhanden.

Den Forschern zufolge sind dafür weder besondere Berechtigungen noch ungewöhnliche Konfigurationsänderungen oder Netzwerkzugriff erforderlich. Ein angemeldeter Benutzer kann die Schwachstelle über gewöhnliche Thread-Aktivitäten eines lokalen Programms auslösen. Nebula zufolge entwickelte das Unternehmen einen zuverlässigen Exploit, der in Tests mit hoher Erfolgsrate funktionierte und zudem einen Ausbruch aus Containern ermöglichte. Dadurch ist die Schwachstelle insbesondere für gemeinsam genutzte Server und Cloud-Umgebungen besorgniserregend.

Funktionsweise der Schwachstelle

Das Problem liegt in der Kernel-Logik, die für die Verwaltung der Aufgabenpriorität und die Bereinigung während Sperrvorgängen zuständig ist. In einem seltenen Fehlerpfad erfolgt die Bereinigung zum falschen Zeitpunkt und entfernt die Daten der falschen Aufgabe. Dadurch verweist der Kernel auf Speicher, der bereits freigegeben und möglicherweise wiederverwendet wurde – ein klassischer Use-after-free-Fehler. Anschließend kombinierten die Forscher weitere Schritte, um die Speicherkorruption in eine Codeausführung mit Root-Rechten umzuwandeln.

Nebula zufolge wurde das Problem mithilfe des automatisierten Systems zur Fehlersuche VEGA entdeckt. Google vergab dem Team über sein kernelCTF-Programm ein Bug-Bounty. Die Schwachstelle wurde im April im Upstream-Kernel behoben, allerdings gelangte der Patch zu unterschiedlichen Zeitpunkten in die Distributionen. Bei einigen frühen Builds führte er Berichten zufolge zu einem separaten Absturzproblem, das zusätzliche Bereinigungsarbeiten erforderlich machte.

Was Administratoren tun sollten

• Installieren Sie das neueste von Ihrer Distribution bereitgestellte Kernel-Paket.
• Überprüfen Sie die genaue korrigierte Version, anstatt davon auszugehen, dass der erste gepatchte Build ausreicht.
• Priorisieren Sie Systeme, auf die mehrere Benutzer, Container, CI-Runner und Cloud-Workloads zugreifen.
• Prüfen Sie die Sicherheitshinweise der Anbieter sorgfältig, da der Bereitstellungsstatus je nach Distribution und Version unterschiedlich ist.

Bestimmte Optionen zur Härtung des Kernels können die Ausnutzung zwar erschweren, ersetzen jedoch nicht das Einspielen von Patches. Da es keine praktikable Umgehung gibt, die das Risiko vollständig beseitigt, bleibt die Aktualisierung des Kernels die wichtigste Schutzmaßnahme.

Nebula wies außerdem darauf hin, dass GhostLock Teil eines größeren Trends neuerer Entdeckungen von Linux-Schwachstellen zur Rechteausweitung ist, von denen mehrere ebenfalls mithilfe automatisierter Tools gefunden wurden. Das Unternehmen kündigte an, später eine ausführlichere Analyse eines Android-Exploits zu veröffentlichen, nachdem demonstriert wurde, dass sich die Schwachstelle mit einer Browser-Schwachstelle zu einer vollständigen Kompromittierung verknüpfen lässt.