Claude schreibt Root-Exploit für kritische Linux-Lücke in der TCP-Handshake
TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8
Ein Use-after-free im IPv4-TCP-Handshake von Linux (CVE-2026-98432) erreicht laut Kernel-CNA einen CVSS-Wert von 9.8 – ein entfernter, nicht authentifizierter Angreifer kann Kernel-Speicher preisgeben oder das System zum Absturz bringen. Der Fehler reicht bis Linux 4.4 zurück; die Stable-Kernel sind seit dem 11. und 15. Oktober gepatcht. Doch Ubuntu, RHEL 8–10 und Amazon Linux 2 führen weiterhin keine Korrektur. Anthropics Claude baute bereits einen funktionierenden Exploit, der als root Befehle ausführt.
Ein verlorenes Rennen lässt nur den Handshake scheitern, ohne das gesamte System zum Absturz zu bringen, sodass ein entschlossener Angreifer unbegrenzt wiederholen kann, bis er Erfolg hat.
- asveikau
> TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8
Ich weiß, es ist bei HN üblich, Titel zu bearbeiten, um überflüssige Informationen zu entfernen, aber das Weglassen von „Linux“ hier nimmt wirklich etwas Nützliches und Relevantes weg. Das ist eine Linux-Schwachstelle. Wer *BSD oder Mac oder Windows nutzt, ist nicht betroffen.
- peanut-walrus
Ein paar Anmerkungen, die ich dazu habe:
- MPTCP ist keine Voraussetzung, es ist ein generischer Use-After-Free.
- Ausnutzbarkeit über das Internet ist unwahrscheinlich, die meisten ISP-Router verwerfen Pakete mit IP-Options-Feldern.
- Zumindest laut Red Hat hilft es, Pakete mit IP-Options selbst zu verwerfen, aber es ist keine vollständige Mitigation.
- Ein erfolgreicher Exploit erfordert mehrere CPU-Kerne zur Paketverarbeitung, daher sind Systeme mit nur einem einzigen Kern oder bei denen die Paketverarbeitung an einen einzigen Kern gebunden ist, nicht betroffen.
- swinglock
Warum sind Ubuntu und RHEL nicht gepatcht? Kaum ein Betriebssystem vermarktet sich stärker als für Server geeignet. Was treiben die da drüben?
- teekert
Ich habe eine Liste von Cybersecurity-RSS-Feeds zusammengestellt, um eine kleine Automatisierung zu bauen (mit Aufsicht durch den Hermes-Agenten), die mich (via ntfy.sh oder einfach Telegram) anpingt, wenn eine CVE mein Eingreifen erfordert (indem sie mit einer Liste von Diensten abgeglichen wird, die ich für Kunden und mich selbst betreibe).
Meine Liste (von Feeds) ist noch klein, aber diese CVE tauchte nicht auf. Habt ihr Tipps für RSS-Feeds, die man für diesen Zweck nutzen kann?
- grey-area
Noch keine Patches für Ubuntu oder Red Hat.
- Shank
Zumindest wenn man auf Amazon Web Services hinter einem Load Balancer ist, ist man wahrscheinlich nicht so stark betroffen, dass man Halloween mit Patchen verbringen müsste.
> AWS Web Application Firewall, Application Load Balancer, Classic Load Balancer, TLS Listeners on Network Load Balancer, Cloud Front, API Gateway
> Kunden, die die oben genannten Dienste gemäß Best Practices nutzen, erhalten keine TCP-Verbindungen von nicht vertrauenswürdigen Quellen direkt. AWS spielt Updates für die zugrunde liegende Infrastruktur dieser Dienste ein, und es sind keine unmittelbaren Maßnahmen seitens der Kunden erforderlich, wenn sie diese Dienste nutzen. Wir empfehlen Kunden dennoch, ihre selbst verwalteten Instanzen hinter diesen Diensten innerhalb der nächsten 30 Tage zu aktualisieren.
[0]: https://aws.amazon.com/security/security-bulletins/2026-160-...
- winwang
Ist schon okay, Leute, die Autoren wissen einfach nicht, wie man gutes C schreibt. Ein echter C-Programmierer hätte so einen grundlegenden Use-After-Free-Bug nicht ausgeliefert. Rust ist nur eine Krücke.
- 9cb14c1ec0
Ich schätze, ich bin nicht der Einzige, der von dieser Flutwelle an Schwachstellen erschöpft ist, mit der ich irgendwie Schritt halten muss?