Sicherheitsbehörde warnt: Schwachstelle im Linux-Kernel wird aktiv ausgenutzt

Die US-amerikanische Cybersicherheitsbehörde Cisa hat kürzlich eine Warnung vor der aktiven Ausnutzung einer Schwachstelle im Linux-Kernel herausgegeben. Die Sicherheitslücke ist als CVE-2024-1086 registriert und ermöglicht es Angreifern mit lokalem Zugriff auf ein anfälliges System, ihre Rechte auszuweiten und dadurch einen Root-Zugriff zu erlangen.

Bekannt ist CVE-2024-1086 schon seit Ende Januar. Es handelt sich um eine Use-after-free-Schwachstelle in der nf_tables-Komponente von Netfilter – einem Softwareprojekt, das unter anderem Paketfilter, Network Address Translation (NAT) und weitere für Firewalls relevante Werkzeuge bereitstellt.

Eingeführt wurde die Sicherheitslücke einem Bericht von Bleeping Computer zufolge mit einem Commit von Februar 2014. Die Lücke besteht also schon seit mehr als 10 Jahren. Jedoch gibt es auch schon seit Monaten einen Fix: Ein Commit von Januar 2024 behebt das Problem.

Laut Bleeping Computer wurde der Fix in mehrere stabile Versionen des Linux-Kernels zurückportiert. Gepatcht sind demnach die folgenden Kernel-Versionen sowie deren Nachfolger: v4.19.307, v5.4.269, v5.10.210, v5.15.149, v6.1.76, v6.6.15 und v6.7.3.

Ein Exploit ist seit Wochen verfügbar

Ein unter dem Pseudonym Notselwyn bekannter Sicherheitsforscher veröffentlichte im März einen Proof-of-Concept-Exploit für CVE-2024-1086, zusammen mit einem detaillierten Bericht über die Schwachstelle. In Letzterem beschreibt er "mehrere neue Techniken", die es Angreifern ermöglichen, "auf fast allen Linux-Kerneln der Versionen v5.14 bis v6.6.14" eine Root-Shell zu öffnen. Demonstriert wird dies am Beispiel von Ubuntu, Debian und KernelCTF, "einem der robustesten Linux-Kernel".

Von wem und in welchem Umfang CVE-2024-1086 derzeit ausgenutzt wird, gab die Cisa in ihrer Mitteilung nicht bekannt. Dennoch wird Administratoren empfohlen, ihre Linux-Systeme zeitnah zu aktualisieren. Für viele gängige Distributionen, die von dieser Sicherheitslücke betroffen sind, stehen entsprechende Patches bereit – darunter Debian, Ubuntu und Red Hat.