Die Schwachstelle ist eine Race Condition im Code, der neue IPv4-TCP-Verbindungen aufbaut, und kann den Kernel dazu bringen, bereits freigegebenen Speicher zu lesen, ein als Use-after-free bekannter Fehlertyp, berichtet The Hacker News. Der Exploit arbeitet in zwei Stufen: Zuerst bringt das Rennen den Kernel dazu, zusätzliche Bytes an den Angreifer zurückzusenden; enthält eine dieser Antworten eine Kernel-Adresse, kann der Angreifer KASLR, die Speicheradress-Randomisierung des Kernels, umgehen. IPv6 ist von dieser Race Condition nicht betroffen, weil der Kernel die Optionen für IPv6-Verbindungen kopiert.

Hintergrund

Der Fehler wurde in Linux 4.4 eingeführt; Kernel-Entwickler spielten am 5. Oktober eine Korrektur ein, zehn Tage bevor das CVE veröffentlicht wurde. Die Korrektur lässt den Kernel warten, bis andere CPUs die Optionen fertig gelesen haben, bevor er sie freigibt. Der Kernel-Fix schreibt dem Anthropic-Forscher Xinyang Ge die Meldung des Fehlers zu. Wer seinen Kernel selbst baut, findet die Korrektur in Linux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 und 7.3; das CVE-Team des Kernels empfiehlt ein Update auf den neuesten stabilen Kernel und erklärt, die Kernel-Community unterstütze kein Cherry-Picking einzelner Korrekturen.

Anthropic erklärte am 27. Oktober, sein KI-Modell habe einen Exploit geschrieben, der die Schwachstelle nutzt, um einem entfernten Angreifer ohne Zugangsdaten das Ausführen von Befehlen als root auf Linux-Servern mit einem Multipath-TCP-Listener zu ermöglichen. Claude schrieb den Exploit nach „initial prompting“, so Anthropic. Red Hat zufolge könnte ein entfernter Angreifer, der einen exponierten TCP-Dienst erreichen kann, das Rennen auslösen; Anthropics Root-Exploit zielte jedoch auf Server mit einem Multipath-TCP-Listener, und der Beitrag sagt nicht, ob Server ohne einen solchen auf dieselbe Weise übernommen werden können. Anthropics Beitrag zufolge wurde die Schwachstelle upstream gepatcht und auf alle gepflegten stabilen Kernel-Zweige zurückportiert.

Red Hat, Amazon, Oracle und SUSE bewerten die Schwachstelle zwischen 5,9 und 8,1 und damit niedriger als das Kernel-Team mit 9,8. Red Hats maschinenlesbare Advisory-Datei, aktualisiert am 29. Oktober, führt die Auswirkung als Important auf und bewertet die Schwachstelle mit 8,1 bei hohen Auswirkungen auf Vertraulichkeit und Integrität; Red Hats Bugtracker änderte die Schwere des Problems am selben Tag von medium auf high, während die CVE-Seite an diesem Tag Moderate und 5,9 zeigte. Oracle und SUSE bewerten die Schwachstelle ebenfalls mit 8,1 und demselben CVSS-Vektor wie Red Hats Advisory-Datei; diese Bewertungen stimmen mit dem Kernel-Team in allen Metriken überein außer der Angriffskomplexität, die die Anbieter als hoch und das Kernel-Team als niedrig einstufen. Amazon bewertet sie mit 7,0. Red Hats CVE-Seite bewertet die Schwachstelle als Moderate mit 5,9, weil das Rennen schwer zu gewinnen sei; sie nennt einen Kernel-Absturz als wahrscheinlichstes Ergebnis, theoretisch sei Speicherbeschädigung möglich, und erklärt, es sei „no confidentiality or integrity impact has been demonstrated“. Stand 28. Oktober hatte die National Vulnerability Database (NVD) keine eigene Bewertung hinzugefügt und zeigte die 9,8 des Kernel-Teams; auch Ubuntus Seite zeigt diese Bewertung.

Was offen bleibt

Debian, Oracle Linux, SUSE und Amazon Linux haben korrigierte Pakete veröffentlicht, zumindest für einige ihrer Kernel, während Ubuntu und RHEL dies nicht getan haben. Ubuntu, RHEL und einige Amazon-Linux- und SUSE-Releases haben noch keinen korrigierten Kernel zum Installieren; Red Hat erklärt, keine verfügbare Gegenmaßnahme erfülle seine Standards für einfache Bereitstellung, Eignung für die meisten Installationen und Stabilität, und keine der anderen Anbieter-Advisories nennt eine solche. Red Hat gibt an, seine Korrekturen seien derzeit auf ein zukünftiges Update verschoben; weder Red Hat noch Ubuntu nennen ein Veröffentlichungsdatum. Ubuntu führt auch seine Cloud-, FIPS- und Echtzeit-Kernel als anfällig oder als in Arbeit befindlich. Weder der CVE-Eintrag noch die Korrektur erwähnen Multipath TCP (MPTCP); der Zusammenhang zwischen diesem Feature und dem Fehler stammt aus Anthropics Beitrag. Die Advisories und Anthropics Beitrag sagen nicht, ob das Abschalten von Multipath TCP oder das Blockieren eingehender Verbindungsanfragen mit IP-Optionen das Risiko senken würde. Der Beitrag enthält weder den Exploit-Code noch die Kernel-Version oder die von Anthropic getestete Konfiguration.

Nach Angaben des Kernel-Teams könnte der Fehler in diesem Fall benachbarten Kernel-Speicher an den Angreifer zurücksenden, Kernel-Speicher beschädigen oder das System zum Absturz bringen. Oktober berichten weder die Anbieter-Advisories noch der CVE-Eintrag oder Anthropics Beitrag von Angriffen, die die Schwachstelle ausnutzen; sie erscheint auch nicht in einer Kopie von CISA's Known Exploited Vulnerabilities-Katalog, die Luxemburgs CIRCL zuletzt am 28. Oktober aktualisiert hat.