LONDON (IT BOLTWISE) – Für die Linux-Kernel-Variante CentOS Stream 9 ist ein lokaler Root-Exploit veröffentlicht worden, der auf einer Use-after-free-Race im Traffic-Control-Subsystem basiert. Der Fehler trägt die Kennung CVE-2026-53264 mit einem CVSS-Score von 7,8 und benötigt für die erfolgreiche Ausnutzung mehrere spezifische Kerneloptionen sowie unprivilegierte User-Namespaces. Die gute Nachricht: Der Upstream-Fix ist bereits seit dem 1. Juni 2026 im Mainline gelandet und wurde in mehrere stabile Branches zurückkopiert. Entscheidend ist jetzt, dass Distributionen ihre Kernel tatsächlich mit dem Patch ausliefern, statt nur auf Versionsnummern zu vertrauen.
Ein veröffentlichter Linux-Kernel-Exploit zeigt, wie schnell ein lokaler Privilege-Eskalationspfad aus einer eng umrissenen Kernel-Race entstehen kann. Im Zentrum steht CVE-2026-53264: eine Use-after-free-Störung im Netzwerk-Subsystem für Traffic-Control (tc). Der CVSS-Score liegt bei 7,8, allerdings ist das Angriffsmodell klar „lokal“: Ein Angreifer braucht bereits Zugriff auf eine Maschine (z. B. durch einen kompromittierten lokalen Account), bevor er in Richtung Root vorstoßen kann.
Interessant ist dabei weniger die reine Existenz des Fehlerbildes als die Art der Entwicklung, die der Autor öffentlich beschrieben hat. Lee Jia Jie berichtet, dass Künstliche Intelligenz bei der Schwachstellenanalyse geholfen und den Weg bis zum funktionierenden Exploit beschleunigt habe – unter anderem durch die Erstellung eines Kernel Address Sanitizer (KASAN)-Proof-of-Concept und durch die Optimierung des Zeitfensters der Race Condition. Gleichzeitig macht der Bericht deutlich, warum eine rein technische Bewertung der „KI-Leistung“ schwerfällt: Ohne vollständige Interaktions- oder Prompt-Historie lässt sich nicht trennscharf beweisen, welcher Teil des Ergebnisses auf das Modell, auf experimentelles Tuning und auf die menschliche Urteilsfähigkeit zurückzuführen ist.
Technisch setzt der Exploit auf ein sehr konkretes Setup. Er erfordert unprivilegierte User-Namespaces, außerdem müssen bestimmte Kerneloptionen und Konfigurationsschalter aktiv sein (u. a. CONFIG_NET_ACT_GACT und CONFIG_NET_CLS_FLOWER). Der Proof nutzt darüber hinaus eine kernel-spezifische Rücksprung-/ROP-Kette mit Hardcoded-Offsets, was die Portabilität auf andere Kernelpakete einschränkt und im Zweifel ein Rebuild für jede Zielumgebung nötig macht. Der verwundbare Zustand entsteht, weil konkurrierende Operationen wie RTM_NEWTFILTER und RTM_DELTFILTER ein Action-Objekt so behandeln können, dass ein Thread noch liest, während ein anderer Thread es bereits freigegeben hat.
Die Gegenmaßnahme im Upstream adressiert genau dieses Timing. Der Patch behebt das Use-after-free-Problem, indem die Free-Operation so verzögert wird, dass bestehende RCU-Reader (Read-Copy-Update) ihre Lesephase abgeschlossen haben. Dadurch wird verhindert, dass ein Thread nach dem Freigeben auf bereits zurückgewonnenen Speicher zugreift – ein klassisches Muster, bei dem Race- und Lebenszyklusfehler im Kernel besonders kritisch werden. Für die Praxis folgt daraus: Betroffene Systeme sollten nicht nur „irgendwie“ aktualisiert sein, sondern Distributionen brauchen Kernel-Pakete, die den Fix tatsächlich enthalten.
Die veröffentlichten Details beschreiben zudem einen mehrstufigen Ablauf innerhalb der Namespace-Umgebung. Der Exploit legt eigene User- und Netzwerk-Namespaces an und erreicht dadurch namespace-local CAP_NET_ADMIN ohne Administratorrechte auf dem Host. Er nimmt den verwundbaren Pfad über eine clsact-qdisc und einen flower-filter, erweitert das Race-Fenster unter anderem über Timerfd- und epoll-Operationen und „reclaimt“ anschließend freigegebenen Speicher für die Payload. Danach kommt es zu einer Manipulation über die ROP-Kette, bei der ein zentraler Pfad wie core_pattern überschrieben wird, bevor der Exploit über einen memfd-Mechanismus und einen gezielten Crash in der initialen Namespace die Ausführung des manipulierten Crash-Handlers auslöst.
Für die Risikoeinschätzung zählt jetzt vor allem der Patch-Status. Laut Linux-CNA-Eintrag beginnt die betroffene Range bei Linux 4.14, und fixe Releases sind unter anderem 5.10.259, 5.15.210, 6.1.176, 6.6.143, 6.12.94, 6.18.36 und 7.0.13; im Mainline soll der Fix in 7.1-rc7 angekommen sein. Zusätzlich hebt der Bericht hervor, dass die Verfügbarkeit von Distributionen bis zum 28. Juli 2026 uneinheitlich war: In Trackern werden teils „fixierte“ Kernel genannt, teils bleiben mehrere gepflegte Pakete als verwundbar markiert oder der Status ist als „pending“ beschrieben. Gleichzeitig liefern solche Tracker keine Aussage darüber, wie viele reale Deployments die benötigten User-Namespaces, Kerneloptionen und exakt passende Build-Varianten überhaupt aktiv haben – die Populationsgröße des unmittelbaren Risikos bleibt damit unklar.
Für Unternehmen bedeutet das: Patch-Management muss hier den Kernel-Container/VM-Bestand wirklich gegen den Fix abgleichen. Eine reine Orientierung an Versionsnummern kann in der Praxis irreführend sein, weil Distributionen Backports auch ohne „harmonische“ Upstream-Versionssprünge ausliefern. Wer ihre Systeme betreibt, sollte zusätzlich überprüfen, ob die Angriffsprerequisites überhaupt erfüllt sind (User-Namespaces und die betroffenen tc-/netfilter-relevanten Optionen), denn diese Einschränkung reduziert zwar die allgemeine Verwundbarkeitsfläche, aber ein öffentlich verfügbares Exploit-Artefakt erhöht die Dringlichkeit für kompatible, unpatchte Builds. Schließlich zeigt der Fall auch eine zweite, weniger bequeme Lehre: Künstliche Intelligenz kann Schwachstellenentwicklung beschleunigen, während Sicherheitsprozesse weiterhin auf menschliche Validierung, Tests und saubere Rollout-Disziplin angewiesen bleiben – insbesondere bei Kernel-Änderungen, die genau an Race-Window und Lebenszyklus-Details ansetzen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KI-gestützter Root-Exploit gegen Linux Traffic-Control: Fix ist seit 1. Juni verfügbar" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KI-gestützter Root-Exploit gegen Linux Traffic-Control: Fix ist seit 1. Juni verfügbar" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KI-gestützter Root-Exploit gegen Linux Traffic-Control: Fix ist seit 1. Juni verfügbar« bei Google Deutschland suchen, bei Bing oder Google News!