Zwei 15 Jahre alte Linux-Kernel-Schwachstellen erfordern dringende Patches

Zwei Schwachstellen mit hohem Schweregrad, die zusammen mehr als 15 Jahre lang im Linux-Kernel schlummerten, wurden diese Woche öffentlich gemacht, was zu dringenden Patch-Maßnahmen bei großen Distributionen und Cloud-Anbietern führte. Beide wurden durch Bug-Bounty-Programme von Google Alphabet Inc. ↘ 1.83% demonstriert, bevor Patches verfügbar waren.

GhostLock: Root in fünf Sekunden

Forscher von Nebula Security enthüllten GhostLock (CVE-2026-43499), einen Use-After-Free-Fehler im Echtzeit-Mutex-Subsystem des Kernels, der in jeder gängigen Linux-Distribution seit seiner Einführung in Linux 2.6.39 im Mai 2011 enthalten war. Die Schwachstelle, die auf der CVSS-Skala mit 7,8 bewertet wird, erfordert nur einen gewöhnlichen lokalen Benutzerzugriff – keine speziellen Berechtigungen, keinen Netzwerkzugriff und keine ungewöhnliche Konfiguration.secure+3

Der Fehler liegt in der Funktion `remove_waiter()`, die in einem Kontext wiederverwendet wurde, für den ihre ursprünglichen Annahmen nicht ausgelegt waren, wodurch ein hängender Zeiger auf den Kernel-Speicher zurückblieb, der für eine Privilegieneskalation ausgenutzt werden kann. Nebula gibt an, dass ihr Exploit zu 97 Prozent erfolgreich ist und dem Team 92.337 US-Dollar durch das kernelCTF-Programm von Google einbrachte.privacyguides+1

Der Fix landete im April 2026 im Mainline-Kernel 7.1, aber die Verteilung durch die Distributionen verläuft uneinheitlich. Anfang Juli listete Ubuntu seine LTS-Versionen 24.04, 22.04 und 20.04 noch als anfällig oder in Bearbeitung. Red Hat gab ein Sicherheitsbulletin für RHEL 6 bis 10 heraus und veröffentlichte am 8. Juli einen gepatchten Kernel für RHEL 9. Es gibt keinen vollständigen Workaround, da der anfällige Codepfad durch routinemäßige Threading-Operationen ausgeführt wird.thehackernews+3

Januscape: Ausbruch aus der virtuellen Maschine

Unabhängig davon enthüllte der Sicherheitsforscher Hyunwoo Kim Januscape (CVE-2026-53359), einen Use-After-Free-Fehler in der Shadow-MMU-Emulation von KVM, der es einer bösartigen Gast-VM ermöglicht, auf den Host auszubrechen und Code als Root auszuführen. Kim demonstrierte die Schwachstelle als Zero-Day im kvmCTF-Programm von Google, das bis zu 250.000 US-Dollar für einen vollständigen VM-zu-Host-Ausbruch bietet.securityweek+2

Der anfällige Code stammt aus dem August 2010 in Linux 2.6.36 und betrifft sowohl Intel- als auch AMD-Architekturen – der erste bekannte KVM-Ausbruch, der dies tut. Ein Proof-of-Concept, der einen Host-Kernel-Panic von innerhalb eines Gastes auslöst, wurde veröffentlicht, obwohl der vollständige Exploit zurückgehalten wird. Die Schwachstelle wurde am 19. Juni im Mainline-Kernel gepatcht und bis zum 4. Juli auf stabile Zweige zurückportiert.cybernews+4

Cloud-Anbieter in Alarmbereitschaft

Cloud-Betreiber sehen sich durch Januscape einer akuten Bedrohung gegenüber. „Ein Angreifer, der nur eine einzige Instanz in einer öffentlichen Cloud gemietet hat, könnte den Host-Kernel zum Absturz bringen, um jede andere Mandanten-VM auf derselben physischen Maschine lahmzulegen, oder Code mit Root-Rechten auf dem Host ausführen, um den Host und alle darauf befindlichen Gäste zu übernehmen“, schrieb Kim in seinem Bericht. Organisationen, die nicht sofort patchen können, wird empfohlen, die verschachtelte Virtualisierung zu deaktivieren oder die Berechtigungen für `/dev/kvm` einzuschränken, das unter RHEL 8 und höher standardmäßig für alle beschreibbar ist.cloudlinux+3