DFN-CERT-2025-2711: Mehrere Schwachstellen im Linux-Kernel ermöglichen die Ausführung von beliebigem Code

Sicherheitswarnung: Ein DFN-CERT-Hinweis weist auf mehrere Schwachstellen im Linux-Kernel hin, die die Ausführung willkürlichen Codes und Abstürze ermöglichen können. Für einige Red Hat-Versionen sind Patches vorhanden, viele Distributionen bleiben jedoch bis zur Installation der Updates anfällig. Dieser Text beschreibt die Auswirkungen, Angriffsvektoren und die zu ergreifenden Sofortmaßnahmen. DFN-CERT-2025-2711: Risikoübersicht und Patch-Status Der Hinweis DFN-CERT-2025-2711 listet mehrere Schwachstellen im Linux-Kernel auf. Einige ermöglichen die Ausführung willkürlichen Codes. Andere führen zu Denial-of-Service-Angriffen oder Rechteausweitung. Angriffe erfordern oft lokale Berechtigungen, die Auswirkungen auf gemeinsam genutzte Server und sensible Workstations sind jedoch weiterhin kritisch.

Hersteller haben bereits Patches für einige Versionen veröffentlicht. Insbesondere wurden Updates für

Red Hat Enterprise Linux 8.8 im Bereich „Extended Update Support“ bereitgestellt. Debian, Ubuntu, SUSE, Fedora, Arch Linux, CentOS und Oracle Linux bleiben jedoch weiterhin gefährdet, bis die Pakete von den Entwicklern freigegeben werden. Das offizielle Advisory ist im DFN-CERT-Archiv verfügbar. Technische Details und Referenzen finden Sie im DFN-CERT Advisory 2025-2711. Wichtigste Erkenntnis: Das schnelle Einspielen von Patches reduziert das Angriffsfenster drastisch. Verbreitung und Umfang: Welche Linux- und Android-Systeme sind betroffen? Die Schwachstellen betreffen den Kernel-Code. Sie machen auch vor Varianten und eingebetteten Plattformen nicht halt. Dies gilt für Server- und Desktop-Distributionen: Ubuntu, Debian, Fedora, SUSE, Arch Linux, CentOS, Oracle Linux und natürlich Derivate. Mobile Geräte mit Android teilen sich oft Teile desselben Kernels. Abhängig von der Konfiguration und den vom Hersteller modifizierten Schichten können einige Telefone oder Netzwerkboxen anfällig sein. Auf Colocation-Rechnern oder gemeinsam genutzten VMs ermöglicht eine Kernel-Schwachstelle einem lokalen Angreifer, den Host oder andere Mandanten zu beeinträchtigen. Praxisbeispiel: Ein KMU, das Container auf gemeinsam genutzten Servern hostet, entdeckte einen Eskalationsversuch über ein bösartiges Modul. Die ausgenutzte Schwachstelle erforderte Benutzerrechte, der ursprüngliche Zugriff erfolgte jedoch über eine kompromittierte Webanwendung. Wichtigste Erkenntnis: Multi-Tenant-Umgebungen vervielfachen die Auswirkungen einer Kernel-Schwachstelle.Ausnutzungstechniken und konkrete Beispiele Die aufgeführten Schwachstellen können über verschiedene Schnittstellen ausgenutzt werden: Systemaufrufe, schlecht geschriebene Treiber oder Interaktionen mit Modulen von Drittanbietern. Typische Ausnutzungen folgen diesem Pfad: Benutzerzugriff -> Interaktion mit einer anfälligen Schnittstelle -> Rechteausweitung oder Kernel-Instabilität. Technisches Beispiel: Ein Netzwerktreiber überprüft die Puffergröße nicht ordnungsgemäß. Ein speziell manipuliertes Paket verursacht einen Überlauf und ermöglicht die Anweisungseinschleusung in den Speicher. Auf Rechnern ohne starken Schutz (teilweise ASLR, SMEP/SMAP deaktiviert) ist der Angriff möglich und führt zur Codeausführung.

Ein weiterer Angriffsvektor: Unsignierte Kernelmodule, die dynamisch von falsch konfigurierten Diensten geladen werden. Sie öffnen ein direktes Tor zum Kernel. Die Reduzierung der Anzahl geladener Module und Integritätsprüfungen mindern dieses Risiko. Wichtige Erkenntnis: Die Sicherung von Schnittstellen und die Härtung der Hardware verringern die tatsächliche Ausnutzbarkeit. Sofortmaßnahmen und Sanierungsplan für Unternehmen Priorisierung: Identifizieren Sie gefährdete Rechner und installieren Sie die vom offiziellen Anbieter bereitgestellten Patches. Für Red Hat 8.8 EUSKernel-Updates sind verfügbar. Für andere Distributionen sollten Sie die Ankündigungen der Betreuer verfolgen und eine schnelle Bereitstellung planen. Isolieren Sie anfällige Hosts, falls ein sofortiges Update nicht möglich ist. Stoppen Sie nicht unbedingt erforderliche Dienste, beschränken Sie den SSH-Zugriff und aktivieren Sie strenge Firewall-Regeln. Migrieren Sie kritische Workloads in containerisierten Umgebungen auf gepatchte Knoten oder vorbereitete, unveränderliche Images.Tipps für den Betrieb: Testen Sie Patches in der Vorproduktion, verwenden Sie Snapshots und planen Sie ein Rollback ein. Fragen Sie für Android-Unternehmensgeräte OEMs nach Patch-Terminen oder setzen Sie MDM-Lösungen ein, um die Ausführung nicht signierter Apps zu blockieren. Wichtige Erkenntnis: Eine schnelle und koordinierte Reaktion zwischen System- und Sicherheitsteams verhindert eine Eskalation. Langzeitüberwachung und Erkenntnisse für 2025Nach der Krise müssen Lehren gezogen werden. Implementieren Sie eine aktive Überwachung von Sicherheitshinweisen (DFN-CERT, Sicherheitsseiten von Anbietern). Automatisieren Sie Kernel-Versions-Scans und lösen Sie Warnmeldungen aus, wenn Unstimmigkeiten auftreten. Integrieren Sie Penetrationstests für Kernel-Schnittstellen in den CI/CD-Zyklus. Netzwerksegmentierung und das Prinzip der geringsten Privilegien bleiben weiterhin unerlässlich. Unternehmen, die in die Cloud migrieren, sollten die von der bereitgestellten Infrastruktur verwendete Kernel-Version überprüfen. Container ersetzen keinen sicheren Kernel auf dem Host. Robuster Ansatz: Ein fiktives IoT-Startup reduzierte seine Reaktionszeit mithilfe von Playbooks und automatisierten Updates von Tagen auf Stunden. Das Ergebnis: Keine kompromittierten Rechner trotz gezielter Scans, die Angriffsversuche aufzeigten. Wichtigste Erkenntnis: Investitionen in Prävention und Automatisierung zahlen sich immer aus.