CVE-2026-98432 (zero-click remote code execution/RCE) [Update #1]

    • Neu
    CVE:CVE-2026-98432 (CVSS v3.1 Score: 9,8 (Hoch/Kritisch); EPSS Score: <0,01 (sehr gering))
    Blog-Artikel:
    Proof-of-Concept:(Demonstration unter Verwendung eines internen Claude-Modells von Anthropic; Grobbeschreibung veröffentlicht)
    Betroffene Distributionen / Hosts:Alle Linux-Kernel 4.4.x–7.3.x ("use-after-free race condition in the multipath TCP networking stack (specifically within tcp_v4_syn_recv_sock)")
    Workaround:

    Setzen von sysctl -w net.ipv4.tcp_migrate_req=0; sysctl -w net.mptcp.enabled=0
    oder Deaktivieren von BPF_SK_REUSEPORT_SELECT_OR_MIGRATE im Kernel

    [Update:] RedHat-Advisory enthält zusätzlichen, dringend empfohlenen Workaround (unter Verwendung von nftables)

    Update auf Kernel-Versionen 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, 7.3 oder neuer bzw. distributionsspezifische Kernel ([Update:] Ubuntu-HWE-Kernel sind immer noch nicht verfügbar; Nutzer sollten ein temporäres Downgrade auf einen Ubuntu-GA-Kernel in Betracht ziehen.)

    [Update:] Nach mehreren Berichten wird nun aktiv nach MPTCP-Verbindungsmöglichkeiten im Netz gescannt, obiger "EPSS Score" steigt also; Go v1.24+ arbeitet standardmäßig mit derartiger Unterstützung (betrifft bspw. den Caddy-Webserver).

    VServer IOPS Comparison Sheet: https://docs.google.com/spreadsheets/d/1w38zM0Bwbd4VdDCQoi1buo2I-zpwg8e0wVzFGSPh3iE

    6 Mal editiert, zuletzt von m_ueberall (4. November 2026 um 09:06)

    • Neu

    Schön waren die Zeiten an denen man sich ab Mitte der Woche Gedanken machte was man am WE mit Freunden und oder Verwandten unternimmt.

    In Zeiten von KI welche schneller Schwachstellen in Code finden, welche zu Exploids führen können muss man sich mittlerweile schon Gedanken machen ob man sicherheitshalber ein Notebook mitnimmt wenn man am WE ausgeht.

    Ich danke Dir für den Kernel Hinweis. :thumbup:

    Ich bin der Anfang, das Ende, die Eine, die Viele ist.

    Ich bin die Borg.

    • Neu
    Zitat von nan0

    Ist ja schon 2 Wochen alt, dazwischen hab ich ja alle Server schon 3-7 mal wegen anderen Kernel-Updates rebooted :D

    Hilft halt nix bei Canonical/Ubuntu, da scheint das komplette Kernel-Team seit mehreren Wochen im Urlaub/Streik zu sein… ;(

    Der sysctl-Workaround war aber noch wg. einer vorherigen Sicherheitslücke aktiv auf allen Hosts hier, und der bleibt wohl nunmehr für immer. 8o

    VServer IOPS Comparison Sheet: https://docs.google.com/spreadsheets/d/1w38zM0Bwbd4VdDCQoi1buo2I-zpwg8e0wVzFGSPh3iE

    Einmal editiert, zuletzt von m_ueberall (29. Oktober 2026 um 07:35)

    • Neu
    Zitat von fvbor

    Weil ich apt mag und neuere Pakete haben möchte, als Debian liefert :(

    Ich kann nur sagen, Debian schlägt sich in der aktuellen Situation absolut top.
    Und ich hatte auch in der Vergangenheit kaum Sorgen damit.
    Auch für PHP waren die Updates zumindest in der 8.4.27-Version der Distri bereits um 15:52 verfügbar (und bei mir instaliert). Das es bei mir dann doch bis 18:45 dauerte lag letztlich an custom-PHP-Versionen von 8.3-8.5 aus dem liveconfig-repo, die auch im Einsatz sind. Gab dann noch weitere, bis 23:35 auch finally noch 5.6 da war.
    Und dieser Fix war bei Debian schon am 15.10.2026 im Kernelupdate, also vor 14 Tagen…

    • Neu

    Da bin ich ebenfalls froh dass ich nur Debian auf allen Rechnern verwende und die vergangenen Tage Update wütig war..

    Als ich heute morgen (fast noch nicht richtig wach) den neuen Thread hier gelesen hatte, dachte ich zuerst oh je.

    Ich bin der Anfang, das Ende, die Eine, die Viele ist.

    Ich bin die Borg.

    • Neu
    Zitat von Borgqueen

    Als ich heute morgen (fast noch nicht richtig wach) den neuen Thread hier gelesen hatte, dachte ich zuerst oh je.

    Ebenfalls. Wobei Exploits eher unwahrscheinlich sind (siehe auch "EPSS Score: <0,01 (sehr gering)"), soweit ich der weniger technischen Zusammenfassung einer KI und meinem heute in 2 Minuten aufgebauten Verständnis vom "EPSS Score" vertrauen kann.

    War ebenfalls froh zu sehen, dass ich anscheinend bereits den gefixten Kernel die letzten Tage bereits irgendwann installiert haben muss :)

    • Neu
    Zitat von cltrmx

    Ich glaube das ist mit ein Grund, warum viele nicht mehr so gerne Ubuntu verwenden.

    Ja, gerade im Enterprise Umfeld ist das ein Problem, da man hier oft auf eigene Mirror Server angewiesen ist und Server erst einmal gar nichts aus dem Internet laden dürfen. Normale deb Pakete und apt Repos hat man sehr einfach spiegeln können. Beim properitären Snap Store geht das halt jetzt auf einmal nicht mehr.

    Auf der anderen Seite kann ich es schon verstehen, warum man es macht. Die Trennung zwischen App-Updates und System-Updates ist ja erst einmal keine schlechte Idee. Zumal man bei apt/deb ja schon immer das Problem hatte, dass Teil-Updates oder nur Security Updates fast unmöglich waren - von Rollbacks ganz zu schweigen. Man muss quasi immer ein Full Update machen - um keine Probleme zu bekommen. Ist zum Teil auch ein notweniger Schritt für Immutable Varianten, wo man einfach nur das Basis Image bei einem Update tauschen muss und die App davon unberührt bleibt. Aber so wie es jetzt gerade ist, ist es irgendwie nichts halbes und nichts ganzes. Es wirkt dann auf mich doch eher noch wie ein Alpha Stadium als etwas, dass ich wirklich in einer LTS Version einsetzen möchte.

    Auf der anderen Seite, es gibt ja mehr als genug Alternativen. Und warum nicht mit Ubuntu auch so Variante haben - für wen auch immer ;)

    • Neu
    Zitat von cltrmx

    Ich glaube das ist mit ein Grund, warum viele nicht mehr so gerne Ubuntu verwenden.

    Auf Desktopsystemen war es jedenfalls einer der Hauptgründe, warum ich nach mehr als einem Jahrzehnt zu Debian gewechselt habe. ;(

    (Auf meinen Servern lief sowieso nie Ubuntu, immer nur Debian.)

    "Wer nur noch Enten sieht, hat die Kontrolle über seine Server verloren." (Netzentenfund)