Linux-„Bad-Epoll“-Bug kann lokalen Benutzern auf Desktop-, Server- und Android-Systemen eine Eskalation zu Root ermöglichen

Eine neu offengelegte Linux-Kernel-Schwachstelle namens Bad Epoll könnte einem lokalen Benutzer ohne besondere Berechtigungen den Zugriff auf betroffene Systeme mit Root-Rechten ermöglichen, wie aus einer öffentlich zugänglichen Forschungsanalyse hervorgeht. Die Schwachstelle wird als CVE-2026-46242 geführt und betrifft Linux-Distributionen, Server, Desktops und einige Android-Geräte.

Die Ursache des Problems liegt in epoll, einem zentralen Linux-Mechanismus, mit dem Anwendungen zahlreiche Dateideskriptoren oder Netzwerkverbindungen gleichzeitig überwachen können. Da epoll von Browsern, Diensten und Serversoftware häufig verwendet wird, kann es nicht einfach als Workaround deaktiviert werden.

Der Sicherheitsforscher Jaeyoung Chung entdeckte den Fehler und demonstrierte einen funktionierenden Exploit. Bei der Schwachstelle handelt es sich um eine Use-after-free-Bedingung. Das bedeutet, dass ein Teil des Kernels Speicher freigibt, während ein anderer Teil weiterhin versucht, darauf zuzugreifen. Kann ein Angreifer diesen zeitlichen Ablauf beeinflussen, könnte er den Kernel-Speicher beschädigen und seine Berechtigungen auf Root-Rechte erweitern.

Obwohl die Schwachstelle schwerwiegend ist, lässt sie sich nicht trivial ausnutzen. Chung erklärte, dass das Zeitfenster äußerst klein sei. Der Proof of Concept verbessert die Zuverlässigkeit jedoch, indem der Angriff auf eine Weise wiederholt wird, die Abstürze vermeidet. Bei Tests war der Exploit Berichten zufolge in den meisten Fällen erfolgreich. Chung erklärte außerdem, dass der Fehler innerhalb der Renderer-Sandbox von Chrome ausgelöst werden kann und möglicherweise auch Android betrifft, was seine potenzielle Auswirkung vergrößert.

Das Problem scheint auf eine Änderung am epoll-Code aus dem Jahr 2023 zurückzugehen. Chung merkte an, dass ein früherer, verwandter Fehler in demselben Bereich bereits vom Mythos-Modell von Anthropic entdeckt worden war, dieses zweite Problem jedoch übersehen wurde. Zum Zeitpunkt der Veröffentlichung gab es keine Anzeichen für eine Ausnutzung in freier Wildbahn, und die Schwachstelle war nicht im Katalog der bekannten, ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) der CISA aufgeführt.

Was Benutzer und Administratoren tun sollten

• Den Upstream-Fix a6dc643c6931 installieren oder auf den Backport des jeweiligen Anbieters warten.
• Prüfen, ob der eigene Kernel auf Linux 6.4 oder höher basiert, da diese Versionen betroffen sind, sofern sie nicht gepatcht wurden.
• Ältere Kernel der Version 6.1, darunter einige Android-Geräte, sind nicht betroffen, da der Fehler erst später eingeführt wurde.

Da epoll eine grundlegende Kernel-Funktion ist, gibt es keinen praktikablen Konfigurations-Workaround. Systeme, die das Update noch nicht erhalten haben, sollten beim Patchen priorisiert werden.