Linux-Kernel: jede KEV-Schwachstelle anhand des Distributionspakets und des laufenden Kernels überprüfen

Worum es geht

Stand: 25. Oktober 2026. Der KEV-Katalog von CISA enthält die folgenden eigenständigen Schwachstellen im Linux-Kernel. Vor dem Schliessen eines Befunds die jeweilige KEV-Massnahme und den Paketstatus der eingesetzten Distribution erneut prüfen. Sowohl die hier verwendete Ubuntu-Seite zu CVE-2026-31431 als auch die CloudLinux-Sicherheitsmeldung zu drei CVEs weisen eine Aktualisierung vom 12. Oktober 2026 aus.

CVE	Für Schutzmassnahmen relevanter Bereich	Aufnahme in KEV
CVE-2026-31431	Copy Fail: Rechteausweitung über die Kryptografieschnittstelle	1. Mai 2026
CVE-2026-53362	Rechteausweitung im IPv6-Subsystem	27. August 2026
CVE-2026-53266	Schreibzugriff ausserhalb der Speichergrenzen bei der Bridge-Filterung	18. September 2026
CVE-2025-39682	Fehlerhafte Behandlung von Bedingungen in Kernel-TLS	18. September 2026
CVE-2025-39964	Race Condition in der kryptografischen Socket-Schnittstelle	18. September 2026

Warum es wichtig ist

Diese Einträge sind keine austauschbaren Bezeichnungen für eine einzige Korrektur. Laut Ubuntu ermöglicht Copy Fail eine lokale Rechteausweitung und möglicherweise einen Ausbruch aus Containern. CloudLinux dokumentiert für die anderen drei von ihm bewerteten Schwachstellen unterschiedliche betroffene Produkte und unterschiedliche Livepatch-Abdeckung. Nicht jedem Eintrag identische Voraussetzungen oder Auswirkungen zuschreiben.

Eine Distribution kann eine Sicherheitskorrektur innerhalb ihrer bestehenden Kernel-Familie bereitstellen. Für das Ubuntu-Quellpaket linux ist Copy Fail unter 24.04 LTS in 6.8.0-117.117 und unter 22.04 LTS in 5.15.0-179.189 behoben. Diese Paketversionen sind hier die massgeblichen Beispiele; ein Grenzwert anhand einer Upstream-Hauptversion würde die eigene Bewertung der Distribution ausser Acht lassen.

So wird es angewendet

• Den laufenden Stand ermitteln. Die Ausgaben von cat /etc/os-release und uname -r erfassen. Bei einer paketbasierten Ubuntu-Installation mit dpkg-query -W "linux-image-$(uname -r)" das aktive Image-Paket ermitteln. Seine Variante, Architektur und sein Repository erfassen; Cloud-, Hardware-Enablement- und Hersteller-Kernel benötigen eigene Einträge in der Sicherheitsmeldung.
• Eine Matrix nach CVE und Host erstellen. Für jede aufgeführte CVE die Einstufung der Distribution als betroffen, behoben oder nicht betroffen sowie die Revision der Sicherheitsmeldung aufbewahren. Die oben genannten Ubuntu-Korrekturen gelten nur für Copy Fail in der genannten Quellpaketfamilie. Sie belegen nicht, dass die Befunde zu IPv6, Bridge, TLS oder der Socket-Race-Condition geschlossen sind.
• Den richtigen Kernel installieren und aktivieren. Den von der Distribution unterstützten Weg für Sicherheitsupdates verwenden und anschliessend einen Neustart mit dem korrigierten Kernel planen. Nach dem Neustart die Befehle zur Bestandserfassung erneut ausführen. Paketversionen nach den Versionsregeln der Distribution vergleichen und prüfen, ob tatsächlich das vorgesehene Image gestartet wurde. Ein neueres Paket, das lediglich auf dem Datenträger liegt, reicht nicht aus.
• Livepatch als separaten Nachweis behandeln. Unter Ubuntu canonical-livepatch status prüfen; die dokumentierte Ausgabe unterscheidet zwischen Kernel-Unterstützung und Patch-Status. Für jede zutreffende CVE und genau den laufenden Kernel den Abdeckungsnachweis des Herstellers verlangen. Für KernelCare-Deployments nennt CloudLinux kcarectl --patch-info zur Prüfung der CVE-Abdeckung; --info ist nur eine Zusammenfassung. Ohne ausdrücklich zutreffende Abdeckung die Massnahme zur Kernel-Aktualisierung mit Neustart beibehalten.
• Nur klar eingegrenzte vorübergehende Schutzmassnahmen verwenden. Ubuntus USN-8226-1 vom 30. April 2026 dokumentiert ein temporäres kmod-Update, das algif_aead blockiert und einen Neustart erfordert. Dies als herstellerspezifische Schutzmassnahme gegen Copy Fail behandeln, nicht als dauerhaften Ersatz für einen korrigierten Kernel oder als Schutz gegen jede kryptografische Schwachstelle. Vor dem Anwenden oder Entfernen einer Einschränkung die aktuelle Meldung prüfen.

Stolpersteine

Kryptografie- oder Netzwerkkomponenten nicht allein deshalb entladen, weil eine andere Distribution dies empfiehlt. CloudLinux warnt ausdrücklich, dass das Blockieren von Modulen seine fest eingebaute Schnittstelle für CVE-2025-39964 nicht deaktiviert. Ausbleibende Abstürze oder eine erfolgreiche Statusmeldung an den Livepatch-Dienst können nicht beweisen, dass keine Kompromittierung vorliegt. Stellt eine Untersuchung unbefugte privilegierte Änderungen fest, Beweise sichern und aus vertrauenswürdigen Medien neu aufbauen, statt die Patch-Installation als Urteil über die Integrität zu verwenden.