Ein privater Fehlerbericht landet in der Öffentlichkeit
Die Zero Day Initiative (ZDI) von Trend Micro löste am 22. Oktober den „Black October“ aus, als sie versehentlich eine Sammlung ungepatchter Linux-Kernel-Schwachstellen auf der öffentlichen Linux Kernel Mailing List statt auf der privaten Sicherheitsliste veröffentlichte. Der Linux-Stable-Maintainer Greg Kroah-Hartman forderte ZDI auf der Liste öffentlich heraus und verlangte eine Erklärung für die vorzeitige Offenlegung von Zero-Day-Exploits.
Kritisch ist, dass durch das Leck zwei schwerwiegende Server Message Block (SMB)-Schwachstellen bekannt wurden, die beide mit CVSS 9.0 bewertet wurden und Remote Code Execution ermöglichen. Eine Schwachstelle, ein Integer-Unterlauf in SMB Direct (ZDI-CAN-33549), ermöglichte Pufferüberläufe durch Manipulation von Puffergrößenwerten. Die zweite, eine Race Condition in ksmbd (ZDI-CAN-33774), ermöglichte eine nicht authentifizierte Remote Code Execution.
Die Berichte erschienen, bevor Patches allgemein verfügbar waren, und gefährdeten Millionen von Systemen. Dies war keine vorsätzliche Veröffentlichung oder ein Beweis für einen aktiven Angriff, sondern eine versehentliche Offenlegung, die den eskalierenden Druck auf die koordinierte Offenlegung von Schwachstellen unterstreicht. Das Design von SMB, das externe Netzwerkdaten für die Dateifreigabe verarbeitet, machte diese Fehler besonders gefährlich und erinnerte an die WannaCry-Epidemie von 2017.
Warum SMB-Fehler zum Problem für alle werden können
Server Message Block, oder SMB, ist das Netzwerkprotokoll, das die Freigabe von Dateien und Ordnern ermöglicht. Seine Architektur macht es von Natur aus gefährlich: Dienste, die eingehende Netzwerkdaten verarbeiten, wie SMB, laufen oft vor der Anmeldung, wodurch sie für nicht authentifizierte Angreifer erreichbar sind. Diese direkte Exposition gegenüber dem Internet vergrößert den Wirkungsradius jeder Schwachstelle.
Wir haben diese Gefahr 2017 bei WannaCry aus erster Hand gesehen, einem Ransomware-Ausbruch, der eine Windows-SMB-Schwachstelle ausnutzte. Obwohl die aktuellen Linux-Fehler anders sind, dient WannaCry als deutliche Erinnerung daran, wie schnell SMB-Fehler ganze Netzwerke kompromittieren können. Die SMB-Schwachstellen des Linux-Kernels, die beide auf der CVSS-Schweregradskala mit 9.0 bewertet wurden, bergen ähnliche Risiken für Remote Code Execution.
Neben den kritischen SMB-Fehlern umfassen andere gemeldete Probleme:
- Lokale Privilegieneskalationen im Netzwerk-Stack (
skb_zerocopy) - Eine lokale Privilegieneskalation im VMware-Grafiktreiber (
vmwgfx) - Ein Informationsleck im NVMe-Target-Code (
nvmet)
Die Anfälligkeit für diese zusätzlichen Schwachstellen variiert drastisch je nach Systemkonfiguration und Bereitstellung. Obwohl sie nicht so unmittelbar katastrophal sind wie die SMB-RCEs, unterstreichen diese Probleme die systemische Fragilität, die während des „Black October“ aufgedeckt wurde.
Black October war ein Offenlegungs-Stau
Black October war nicht nur ein Linux-Leck; es war eine Flut. Die versehentliche Offenlegung ungepatchter Kernel-Schwachstellen kam inmitten eines Sturms kritischer Sicherheitsmeldungen, die globale Organisationen an den Rand des Abgrunds brachten. Besonders hervorzuheben sind zwei schwerwiegende PHP-Fehler (CVE-2026-109618, CVE-2026-109619), die Regierungen in Frankreich, den Niederlanden und Finnland dazu zwangen, öffentliche Websites für Notfall-Patches offline zu nehmen.
Dies war kein koordinierter Angriff, sondern gleichzeitiger Druck von mehreren Seiten. Weitere Berichte kamen hinzu:
- Die Kompromittierung der Zertifizierungsstelle von eMudhra, die schnelle Widerrufe auf Browser-Ebene erforderte.
- Ein CVSS 10 GitLab-Fehler aus dem Jahr 2014.
- Ein Remote Code Execution-Fix in Node.js.
- Berichte über unbefugte KI-Agenten, die auf US-Bankkonten auftauchten.
Diese Welle öffentlicher Enthüllungen ist zwar intensiv, entspricht jedoch nicht einer Welle bestätigter Angriffe. Viele dieser Probleme, einschließlich der von Phoronix detailliert beschriebenen Linux-Kernel-Fehler, waren bereits Wochen oder Monate zuvor entdeckt worden. Unternehmen beeilten sich lediglich, sie zu patchen, sobald sie öffentlich bekannt wurden. Several Linux Kernel Vulnerabilities Accidentally Posted To Public Kernel Mailing List - Phoronix Dieser „Black October“ diente als deutliche Vorschau: Der Engpass hat sich vom Finden von Fehlern hin zu deren schneller Behebung verschoben.
Gefällt Ihnen der Artikel? Erhalten Sie jeden Morgen einen wie diesen per E-Mail.
eine E-Mail pro Tag · Abmeldung mit zwei Klicks · kein Tracking durch Dritte
KI beschleunigt die Entdeckung; das Patchen bestimmt das Tempo
KI beschleunigte die Entdeckung von Legacy-Schwachstellen, doch das von Menschen gesteuerte Patchen bleibt hartnäckig langsam. Wartungsverantwortliche stehen nun vor einer „Vulnerability Patch Wave“, da KI-Tools wie Anthropic's Mythos Hunderte kritischer Fehler in Produkten wie SharePoint aufdecken und damit die menschliche Kapazität bei weitem übersteigen. Das Chrome-Team von Google veröffentlicht beispielsweise inzwischen zweimal wöchentlich Sicherheitsupdates.
Dies schafft ein immer kleiner werdendes Zeitfenster für Verteidiger. Öffentliche Fixes enthüllen naturgemäß, was geändert wurde, und liefern Angreifern eine Roadmap für die Entwicklung von Exploits. Gleichzeitig erhalten Verteidiger Zugang zu KI-gestützten Sicherheitstools, was die Wettbewerbsbedingungen potenziell ausgleicht, sobald die anfängliche Flut leicht auffindbarer Fehler abebbt.
Aus dieser neuen Realität ergeben sich praktische Prioritäten. Unternehmen müssen:
- Alle internetseitigen Systeme inventarisieren
- PHP und andere betroffene Software sofort aktualisieren
- Auf Linux-Kernel-Fixes achten und prüfen, ob ksmbd aktiviert ist
- Nicht verwendete Komponenten deaktivieren
- Sichere Patch-Prozesse wo immer möglich automatisieren
Patchen muss zu einem kontinuierlichen Vorgang werden, nicht zu einer vierteljährlichen Aufgabe. Das NCSC empfiehlt eine „Update by Default“-Richtlinie, bei der internetexponierte Systeme priorisiert und nicht patchbare Legacy-Software ersetzt werden.
Häufig gestellte Fragen
Was ist bei dem Leak der Linux-Kernel-Schwachstellen passiert?
Die Zero Day Initiative von Trend Micro hat versehentlich Berichte über ungepatchte Schwachstellen an die öffentliche Linux-Kernel-Mailingliste statt an einen privaten Sicherheitskanal gesendet.
Warum wurden die Linux-SMB-Fehler als gefährlich eingestuft?
Die beiden gemeldeten Fehler wurden mit CVSS 9.0 bewertet und könnten die Remote-Code-Ausführung in SMB-bezogenem Code ermöglichen, der Netzwerkverkehr verarbeitet.
Bedeutet der Leak, dass Linux-Systeme aktiv angegriffen wurden?
Nicht unbedingt. Die Offenlegung machte die Schwachstellen öffentlich, aber das Video beschreibt eine breitere Welle von Schwachstellen-Enthüllungen, anstatt Angriffe zu bestätigen, die diese spezifischen Fehler ausnutzen.
Was sollten Linux-Administratoren tun?
Relevante Distributions-Updates zeitnah anwenden, prüfen, ob ksmbd aktiviert ist, und nicht verwendete exponierte Dienste oder Komponenten deaktivieren, während auf Fixes gewartet wird.