Ein einziges Satzzeichen hebelt Linux aus: Root-Rechte durch Tippfehler

Ein einzelnes falsches Satzzeichen im Linux-Kernel (CVE-2026-23111) ermöglicht eine Rechteausweitung auf Root-Ebene. Patches stehen bereit.

Sicherheitsforscher haben eine schwerwiegende Sicherheitslücke im Linux-Kernel analysiert, die es lokalen Benutzern erlaubt, administrative Root-Rechte zu erlangen. Die unter der Kennung CVE-2026-23111 registrierte Schwachstelle befindet sich im nf_tables-Subsystem. Diese Komponente stellt Funktionen zur Paketfilterung bereit, verwaltet Firewall-Regeln und ersetzt ältere Subsysteme wie iptables, ip6tables, arptables und ebtables. Die Ursache für das Sicherheitsrisiko ist ein einzelnes fehlerhaftes Zeichen im Quellcode: Ein fälschlicherweise gesetztes Ausrufezeichen führte zu einem Use-after-free-Fehler, der die Speicherverwaltung des Kernels korrumpiert.

Speicherkompromittierung im Linux-Kernel

Die Schwachstelle kann von einem unprivilegierten Benutzer oder Prozess ausgenutzt werden, um die Systemrechte auf die höchste Stufe anzuheben. Der Exploit greift in den Löschprozess von Entscheidungen (Verdicts) innerhalb des nf_tables-Frameworks ein. Diese Entscheidungen bestimmen, ob ein Netzwerkpaket die Kriterien einer Firewall-Regel erfüllt, um eine bestimmte Aktion auszuführen. Der betroffene Prozess nutzt sogenannte Catchall-Elemente, die als Platzhalter dienen, wenn eine Suche mit keinem anderen Element übereinstimmt.

Wenn eine Zuordnungstabelle aus dem Speicher gelöscht wird, werden diese Elemente deaktiviert und der Referenzzähler einer Kette wird verringert. Tritt ein Fehler auf, wird das Löschen rückgängig gemacht und der Zähler erhöht. Durch den Logikfehler lässt sich dieser Ablauf manipulieren, wodurch der Zähler beliebig oft verringert und die Kette freigegeben werden kann, während andere Objekte noch darauf verweisen.

Behebung des Fehlers und veröffentlichter Programmcode

Die Schwachstelle im Linux-Kernel wurde von den Entwicklern bereits im Februar 2026 behoben. Trotz der bereitgestellten Korrekturen sind in der Folgezeit mehrere Funktionstests und Konzeptnachweise (Proof of Concept) für Angriffe im Internet aufgetaucht. Das Unternehmen FuzzingLabs veröffentlichte im April einen entsprechenden Nachweis. Ein weiterer funktionstüchtiger Exploit wurde von Exodus Intelligence zur Verfügung gestellt, der nachweislich auf den Linux-Distributionen Debian und Ubuntu funktioniert. Systemadministratoren wird daher die zeitnahe Aktualisierung des Kernels empfohlen.

(red)