Zum Inhalt springen
Produkte
Plattform
Developer Tools
Portal

STACKIT-2026-003: Kritische Schwachstelle in der IPv4-TCP-Verarbeitung des Linux-Kernels

Zuletzt aktualisiert am

Metadaten

Abschnitt betitelt „Metadaten“
Attribut Wert
Advisory-ID STACKIT-2026-003
Veröffentlichungsdatum 29. Oktober 2026
Schweregrad Hoch
Betroffener Dienst Von STACKIT verwaltete Dienste / selbst verwaltete Linux-Workloads

Übersicht

Abschnitt betitelt „Übersicht“

Am 15. Oktober 2026 wurde eine fehlerhafte parallele Verarbeitung neuer IPv4-TCP-Verbindungen im Linux-Kernel offengelegt (CVE-2026-98432). Die Schwachstelle besteht in allen Linux-Kernel-Versionen seit Version 4.4 und betrifft ausschließlich IPv4; die zugehörige IPv6-Verarbeitung ist nicht betroffen. Der betroffene Code-Pfad ist laut Berichten über einen MPTCP-Listener erreichbar.

Die Ausnutzung dieser Schwachstelle ermöglicht es nicht authentifizierten Angreifern, eine use-after-free-Bedingung im Kernel auszulösen. Dies kann zur Offenlegung angrenzender Kernel-Speicherbereiche, zur Beschädigung von Kernel-Speicher oder zu einem Systemabsturz führen. Am 27. Oktober 2026 wurde ein funktionsfähiges Proof-of-Concept gemeldet; Stand 29. Oktober 2026 ist keine Ausnutzung dieser Schwachstelle in der STACKIT-Infrastruktur bekannt. Die Schwachstelle wird in den Kernel-Versionen 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 und 7.3 behoben.

STACKIT ist sich bewusst, dass die Schwachstelle mehrere von STACKIT verwaltete Dienste betreffen. Als Reaktion auf Berichte, dass ein Frontier-Modell einen Ausnutzungsweg in einer kontrollierten Laborumgebung entwickeln konnte, wurden weitere Maßnahmen zum Schutz von STACKIT und seiner Kunden ergriffen. Die zuständigen Teams wurden umgehend informiert und arbeiten an der Lösung in den betroffenen Diensten; dieser Hinweis wird aktualisiert, sobald sich wesentliche Änderungen ergeben oder neue Informationen vorliegen. Kunden, die selbst verwaltete Linux-Systeme betreiben, müssen die Updates von Hersteller oder Distribution eigenverantwortlich installieren. Darüber hinaus müssen alle Kunden den Netzwerkzugriff auf ihre Linux-Systeme überprüfen und bis zum Abschluss der Patch-Vorgänge restriktiv konfigurieren.

Betroffene Versionen

Abschnitt betitelt „Betroffene Versionen“

Die Schwachstelle betrifft die folgenden Linux-Kernel-Versionen:

  • Alle Linux-Kernel-Versionen ab Version 4.4 bis zu den unten aufgeführten behobenen Versionen
  • Linux-Kernel < 5.10.272 (5.10-Zweig)
  • Linux-Kernel < 5.15.223 (5.15-Zweig)
  • Linux-Kernel < 6.1.190 (6.1-Zweig)
  • Linux-Kernel < 6.6.159 (6.6-Zweig)
  • Linux-Kernel < 6.12.113 (6.12-Zweig)
  • Linux-Kernel < 6.18.56 (6.18-Zweig)
  • Linux-Kernel < 7.2.10 (7.2-Zweig)

Kernel-Versionen, die ihr Lebensende erreicht haben und keine Sicherheitsupdates mehr erhalten, müssen auf einen gewarteten Zweig migriert werden.

Identifizierte CVEs

Abschnitt betitelt „Identifizierte CVEs“

Der Hinweis befasst sich mit folgenden Common Vulnerabilities and Exposures (CVEs):

Erforderliche Maßnahmen

Abschnitt betitelt „Erforderliche Maßnahmen“

Selbst verwaltete Systeme

Abschnitt betitelt „Selbst verwaltete Systeme“
  • Prüfen Sie alle selbst verwalteten Linux-Systeme, einschließlich virtueller Maschinen und eingebetteter Linux-Komponenten, auf betroffene Kernel-Versionen (z. B. mit uname -r).
  • Installieren Sie die Sicherheitsupdates, um eine der behobenen Versionen zu erreichen: Linux-Kernel ≥ 5.10.272, ≥ 5.15.223, ≥ 6.1.190, ≥ 6.6.159, ≥ 6.12.113, ≥ 6.18.56 oder ≥ 7.2.10, ≥ 7.3, oder installieren Sie die entsprechenden Kernel-Updates von Hersteller oder Distribution.
  • Vergleichen Sie die installierte Kernel-Version mit der behobenen Version Ihrer Distribution, da die Distribution das Fix möglicherweise unter anderen Versionsnummern bereitstellt.
  • Beschränken Sie den Netzwerkzugriff auf selbst verwaltete Linux-Systeme auf autorisierte Clients und interne Netzwerke, bis die Patches eingespielt sind.

Von STACKIT verwaltete Dienste

Abschnitt betitelt „Von STACKIT verwaltete Dienste“
  • Plattform-Updates: STACKIT hat Plattform-Updates für die betroffenen Dienste eingeleitet, um die Kernel-Sicherheitspatches über die gesamte Service-Infrastruktur bereitzustellen.
  • Für STACKIT Kubernetes Engine (SKE): Die Preview-Version 4757.2.2-containerd2.2.10 des Flatcar-OS, veröffentlicht am 26. Oktober 2026, enthält Linux-Kernel 6.12.113 und behebt CVE-2026-98432. Als Preview-Version wird sie nicht automatisch bereitgestellt; aktualisieren Sie die OS-Version Ihrer Worker-Nodes auf diese Version, um das Fix zu erhalten.
  • Für virtuelle Maschinen auf STACKIT: Die verwendete Kernel-Version ist zu prüfen und auf eine der behobenen Versionen zu aktualisieren.

Referenzen

Abschnitt betitelt „Referenzen“

Kontakt und Support

Abschnitt betitelt „Kontakt und Support“

Für Fragen zu diesem Hinweis oder Unterstützung bei der Systemkonfiguration wenden Sie sich an den STACKIT-Support:

  • Erstellen Sie ein Ticket über das STACKIT Help Center.
  • Kontaktieren Sie das Support-Team per E-Mail unter cybersecurity@stackit.cloud.