Root-Zugriff möglich: Exploits für gefährliche Lücke im Linux-Kernel geleakt
Im Netz kursieren Exploits für eine kürzlich gepatchte Sicherheitslücke im Linux-Kernel, die populäre Distributionen wie Ubuntu, Debian und Red Hat betrifft. Angreifer können damit ihre Zugriffsrechte ausweiten und Code als Root zur Ausführung bringen. Ein Patch wurde zwar schon Mitte Juni in den Linux-Kernel aufgenommen, ein entsprechendes Update steht aber wohl noch nicht für alle Systeme zur Verfügung.
Bei der besagten Sicherheitslücke handelt es sich um CVE-2026-46331(öffnet im neuen Fenster) (CVSS: 7,8). Laut einer Sicherheitsmeldung von Red Hat(öffnet im neuen Fenster) liegt die Ursache im Traffic-Control-Subsystem (act_pedit) des Linux-Kernels. Dort ermögliche eine fehlende Grenzwertprüfung Schreibvorgänge außerhalb des zulässigen Bereichs.
Die Folge ist, dass der Page-Cache korrumpiert werden kann – ähnlich wie schon bei einigen anderen Linux-Lücken, die in den letzten Monaten an die Öffentlichkeit gelangten. Ausnutzen lässt sich CVE-2026-46331 mit einfachen Benutzerrechten. Nach einer erfolgreichen Attacke hat der Angreifer Root-Zugriff.
Exploits und Patches
Auf Github(öffnet im neuen Fenster) sind bereits mehrere(öffnet im neuen Fenster) Exploits für CVE-2026-46331 aufgetaucht. Hinweise auf eine aktive Ausnutzung scheint es zwar noch nicht zu geben, jedoch ist es für Angreifer mit den geleakten Exploits keine große Herausforderung, die Lücke für Angriffe auf Linux-Systeme auszunutzen. Umso wichtiger ist es für Administratoren, zeitnah Schutzmaßnahmen zu ergreifen.
Red Hat scheint die seit Mitte Juni verfügbare Korrektur(öffnet im neuen Fenster) bereits weitergereicht zu haben(öffnet im neuen Fenster), so dass für Nutzer von Red Hat Enterprise Linux (RHEL) das Einspielen der neuesten Updates ausreichen dürfte. Bei Debian(öffnet im neuen Fenster) und Ubuntu(öffnet im neuen Fenster) ist die Versorgung hingegen noch lückenhaft. Viele Versionen dieser Distributionen sind noch immer als anfällig markiert.
Bei Red Hat(öffnet im neuen Fenster) ist aber auch noch ein alternativer Workaround zu finden, mit dem sich Admins auf Systemen behelfen können, für die noch kein Update verfügbar ist. Der Workaround besteht darin, mit dem Befehl "echo "blacklist act_pedit" > /etc/modprobe.d/blacklist-act-pedit.conf" das anfällige Kernelmodul zu blockieren. Zuvor sollte jedoch geprüft werden, ob das Modul möglicherweise aktiv ist und benötigt wird, um beispielsweise den Datenverkehr zu steuern oder Paket-Header umzuschreiben.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.