Zum Inhalt springen
StartAdvisoriesRansomwareCW-PodcastPodcastsBücherCreatorsSpeakerFirmenKarriereEventsCB-NetzwerkMatrix-ServerFAQBesucherstatistikFormulareSuche
CVE-2025-39964HighCVSS: 7.8

CVE-2025-39964: Linux-Kernel-Lücke in AF_ALG-Sockets

Im Linux-Kernel wurde eine Schwachstelle (CVSS 7.8, High) in der AF_ALG-Kryptoschnittstelle (af_alg_sendmsg) behoben. Gleichzeitige Schreibzugriffe auf denselben Socket konnten zu Datenvermischung und inkonsistentem Socket-Zustand führen. Betroffene Systeme sollten die bereitgestellten Stable-Patches zeitnah einspielen.

METADATEN

Entdeckt:
13.10.2025
Patch verfügbar:
Ja

BETROFFENE SYSTEME

  • •Linux Kernel 2.6.38
  • •Linux Kernel Patch 5.10.245
  • •Linux Kernel Patch 5.15.194
  • •Linux Kernel Patch 6.1.154
  • •Linux Kernel Patch 6.6.108
  • •Linux Kernel Patch 6.12.49
  • •Linux Kernel Patch 6.16.9
  • •Linux Kernel Patch 6.17

Zusammenfassung

Im Linux-Kernel wurde die Schwachstelle CVE-2025-39964 in der Komponente crypto: af_alg behoben (CVSS 7.8, Severity High). Gleichzeitige Writes auf denselben AF_ALG-Socket führten zu unvorhersehbarer Verzahnung der Daten und möglichen Inkonsistenzen im internen Socket-Zustand. Mit dem Fix wird exklusiver Schreibzugriff über ein neues ctx->write-Feld erzwungen.

Technische Details

  • CVE-ID: CVE-2025-39964
  • CVSS Score: 7.8 (High)
  • Komponente: Linux-Kernel crypto/af_alg.c – Funktion af_alg_sendmsg
  • Ursache: Fehlende Serialisierung bei parallelen sendmsg()-Aufrufen auf denselben AF_ALG-Socket. Daten mehrerer Schreiber wurden unkontrolliert vermischt, der interne Socket-State konnte korrumpieren.
  • Fix: Einführung eines ctx->write-Flags zur Anzeige exklusiver Schreib-Ownership. Gleichzeitige Schreibversuche werden nun abgewiesen, sodass nur ein Schreiber aktiv sein kann.
  • Voraussetzung für Ausnutzung: Lokaler Zugriff mit Möglichkeit, AF_ALG-Sockets (Krypto-API) zu nutzen. Keine Remote-Ausnutzung ohne lokalen Account beschrieben.
  • Auswirkung: Mögliche Beeinträchtigung von Vertraulichkeit, Integrität und Verfügbarkeit von Krypto-Operationen, im schlimmsten Fall Denial-of-Service oder Fehlverhalten kryptografischer Verarbeitung.

Betroffene Systeme

  • Linux Kernel 2.6.38
  • Linux Kernel Patch 5.10.245
  • Linux Kernel Patch 5.15.194
  • Linux Kernel Patch 6.1.154
  • Linux Kernel Patch 6.6.108
  • Linux Kernel Patch 6.12.49
  • Linux Kernel Patch 6.16.9
  • Linux Kernel Patch 6.17
  • Linux Kernel Commit-Basis 8ff590903d5fc7f5a0a988c38267a3d08e6393a2 vor den Stable-Fixes

Betroffen sind alle Kernel-Zweige, die den Fix noch nicht enthalten. Die genaue Betroffenheit hängt vom verwendeten Stable-Zweig und der Distribution ab.

Empfehlungen und Maßnahmen

  1. Patches einspielen: Stable-Updates aus den verlinkten Commits bzw. Distributions-Updates (Debian, Ubuntu, RHEL, SUSE u.a.) zeitnah installieren und System neu starten.
  2. Version prüfen: Mit uname -r Kernel-Version prüfen und mit Vendor-Advisory abgleichen.
  3. AF_ALG-Nutzung einschränken: Falls nicht benötigt, Zugriff auf AF_ALG-Sockets einschränken.
  4. Monitoring: Auf anomale Krypto-Fehler, Crashes oder inkonsistente AF_ALG-Verarbeitung achten.
  5. Backup und Change-Management: Vor Kernel-Update Snapshot/Backup erstellen, in Wartungsfenster einspielen.

Quellen

REFERENZEN