Auch Android betroffen: Exploit für gefährliche Root-Lücke im Linux-Kernel geleakt
Ein Sicherheitsforscher namens Jaeyoung Chung von der Seoul National University hat einen Exploit für eine als Bad Epoll bezeichnete Sicherheitslücke veröffentlicht, mit der Angreifer sich auf Linux-Systemen Root-Rechte verschaffen können. Laut der Beschreibung des Forschers auf Github(öffnet im neuen Fenster) klafft die Lücke im für I/O-Events an File-Deskriptoren zuständigen Epoll-Subsystem(öffnet im neuen Fenster) des Linux-Kernels. Auch Android-Geräte sollen betroffen sein.
Die besagte Sicherheitslücke ist als CVE-2026-46242(öffnet im neuen Fenster) registriert und verfügt über einen hohen Schweregrad (CVSS: 7,8). Laut Chung handelt es sich um einen Use-after-free-Bug, der auf einer Race Condition basiert und mit dem Angreifer ihre Rechte ausweiten können. Vorab sind nur einfache Nutzerrechte erforderlich. Mit Bad Epoll bekommt der Angreifer Root-Zugriff.
Nach Angaben des Forschers ist das Zeitfenster für die Race Condition zwar sehr klein, der Exploit soll aber dennoch zu 99 Prozent zuverlässig funktionieren. "Das Race-Fenster des Fehlers ist nur etwa sechs Befehle breit, und ein normaler Versuch trifft es so gut wie nie. Der Exploit erweitert dieses Fenster und führt eine Wiederholungsschleife aus, die den Kernel niemals zum Absturz bringt", so Chung.
Bug blieb drei Jahre unentdeckt
Ein wirksamer Patch gegen CVE-2026-46242 wurde am 24. April in den Linux-Kernel aufgenommen(öffnet im neuen Fenster). Einen ersten Patchversuch gab es laut Chung zwar schon im Februar, der damit implementierte Schutz soll aber unzureichend gewesen sein. Eingeführt wurde Bad Epoll mit einem Commit vom 8. April 2023(öffnet im neuen Fenster). Die Lücke war also rund drei Jahre lang im Linux-Kernel enthalten. Betroffen sind Kernel-Versionen ab 6.4.
Obwohl der Patch bereits seit Wochen verfügbar ist, scheint er noch nicht bei allen Linux-Distributionen angekommen zu sein. In den Sicherheitsmeldungen gängiger Distributionen wie Debian(öffnet im neuen Fenster), Ubuntu(öffnet im neuen Fenster), Suse(öffnet im neuen Fenster) und Red Hat Enterprise Linux(öffnet im neuen Fenster) werden viele Versionen immer noch als anfällig gelistet.
Nur der Patch soll helfen
Obendrein scheint es keinen alternativen Workaround zu geben. Denn im Gegensatz zu einigen anderen Root-Lücken des Linux-Kernels, die in den letzten Wochen an die Öffentlichkeit gelangten, lässt sich Bad Epoll laut Chung nicht einfach durch das Blockieren eines Kernel-Moduls eindämmen.
"Es handelt sich um eine zentrale Kernel-Funktion, auf die das Betriebssystem, Netzwerkdienste und Browser gleichermaßen angewiesen sind. Die einzige Möglichkeit, das Problem zu beheben, ist das Installieren des Patches", erklärt der Forscher.
Wer sich für technische Details zu Bad Epoll und dem zugehörigen Exploit interessiert, findet diese in zwei separaten Berichten(öffnet im neuen Fenster), die Chung auf Github veröffentlicht hat(öffnet im neuen Fenster). Der Exploit ist allerdings noch nicht auf Android zugeschnitten. Ein funktionierender Exploit zum Rooten anfälliger Android-Geräte wird nach Angaben des Forschers noch entwickelt und soll zu einem späteren Zeitpunkt veröffentlicht werden.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.