KritischCVE-2022-0847

    Kernel: fehlerhafte Initialisierung (CVE-2022-0847)

    Veröffentlicht In CISA KEV seit Quellen: OSV, SingCERT, Debian, Siemens ProductCERT, CVE.org

    Teilen

    Was ist betroffen, was ist zu tun

    Ein Fehler wurde im Umgang mit dem "flags"-Mitglied der neuen Pipe-Buffer-Struktur festgestellt, das in den Funktionen copy_page_to_iter_pipe und push_pipe des Linux-Kernels nicht ordnungsgemäß initialisiert wurde und daher veraltete Werte enthalten konnte. Ein unprivilegierter lokaler Benutzer könnte diesen Fehler ausnutzen, um auf Seiten im Seitencache zuzugreifen, die von schreibgeschützten Dateien unterstützt werden, und so ihre Berechtigungen im System erhöhen.

    Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Aktualisieren Sie :linux_kernel: auf Version :2022-05-05. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

    Betroffen
    • Kernel eq Linux Kernel 5.17 rc6..Linux Kernel 5.17 rc6

    Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

    Metriken

    7,8

    Priorität

    XIEM Effective CVSS: höchste verfügbare CVSS-Bewertung aus NVD- und Herstellerangaben.

    Quelle: NVD, CVSS v3

    7,8

    CVSS v3

    Schweregrad Hoch auf der Skala von 0 bis 10.

    Quelle: OSV, SingCERT, Debian, Siemens ProductCERT, CVE.org

    92,8 %

    EPSS-Score

    Hoch – Modell schätzt ≥ 50 % Chance auf reale Ausnutzung in 30 Tagen.

    Quelle: FIRST EPSS, Perzentil 99,83

    Alle Metriken anzeigen
    Schweregrad
    Kritisch
    Priorität (0–325)

    Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?

    Im Glossar lesen
    219.22 Methodik
    Exploit-Reife

    Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht.

    Im Glossar lesen
    aktiv ausgenutzt
    XIEM Effective CVSS

    XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command.

    Im Glossar lesen
    7,8 Methodik
    CVSS v3

    CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen.

    Im Glossar lesen
    7,8
    EPSS-Score

    Der EPSS-Score ist der absolute Modell-Output für eine einzelne Schwachstelle: die geschätzte Wahrscheinlichkeit einer realen Ausnutzung in den nächsten 30 Tagen, ausgedrückt als Wert zwischen 0 und 1 (bzw. 0 % bis 100 %). Ein Score von 0,42 bedeutet „das Modell schätzt eine 42-prozentige Chance auf reale Ausnutzung binnen 30 Tagen“.

    Im Glossar lesen
    92,8 %
    Hoch – Modell schätzt ≥ 50 % Chance auf reale Ausnutzung in 30 Tagen.
    EPSS-Perzentil

    Das EPSS-Perzentil ist die relative Einordnung einer Schwachstelle innerhalb aller EPSS-bewerteten CVEs, ausgedrückt als Wert zwischen 0 und 1. Ein Perzentil von 0,90 bedeutet „diese CVE hat einen höheren EPSS-Score als 90 % aller anderen bewerteten CVEs“. Anders als der EPSS-Score ist es keine Wahrscheinlichkeit — sondern eine Positionierung im Ranking.

    Im Glossar lesen
    99,83
    Kritisch – CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
    KEV-Status

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    Aktiv ausgenutzt
    Veröffentlicht
    In CISA KEV seit

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    CISA-Bewertung (SSVC)
    Ausnutzung: aktiv · nicht automatisierbar · Auswirkung: vollständig
    Quelle: CISA Vulnrichment, Stand 4. Februar 2025
    CWE

    CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine CVE eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse.

    Im Glossar lesen
    CWE-665

    Behebung und Mitigation

    Warum sofort handeln?

    Priorisierung

    Dirty Pipe steht auf der KEV-Liste, weil öffentliche, zuverlässige Exploits existieren, die ohne Race Condition und auf praktisch allen Distributionen ab Kernel 5.8 sofort Root-Rechte liefern; die Ausnutzungswahrscheinlichkeit gehört zu den höchsten überhaupt. Angreifer nutzen die Schwachstelle als zweite Stufe nach einem initialen Zugang über Webanwendungen, gestohlene SSH-Zugangsdaten oder kompromittierte CI-Jobs sowie zum Ausbruch aus Containern. Obwohl lokaler Zugriff mit niedrigen Rechten erforderlich ist und CISA keine Ransomware-Nutzung meldet, sollten Container-Hosts, Kubernetes-Nodes, Build-Server und Mehrbenutzersysteme als kritisch eingestuft und innerhalb von 24-72 Stunden gepatcht werden; isolierte Einzelzweck-Server ohne fremde Codeausführung können in den regulären Patchzyklus übernommen werden.

    1. Schritt 1 im Runbook

      Sofort-Response (0-24 h)

      • Kernel-Bestand erheben: Auf allen Linux-Systemen uname -r auslesen (z. B. per Ansible/Salt oder über das EDR-Inventar). Betroffen sind alle Kernel ab 5.8 bis vor den Fix-Versionen. Container-Hosts, CI/CD-Runner und Mehrbenutzersysteme zuerst prüfen.
      • Kernel-Patch einspielen und neu starten: Upstream-Fix-Versionen sind 5.10.102, 5.15.25 und 5.16.11 (bzw. 5.17-rc6 und neuer). Für Distributionskernel (RHEL, Ubuntu, Debian, SUSE, Fedora 35) die Backport-Version im jeweiligen Distributor-Advisory nachschlagen. Ohne Reboot bleibt der Kernel verwundbar. Alternativ einen Live-Patch einsetzen (kpatch, Canonical Livepatch, kGraft), sofern der Distributor einen bereitstellt.
      • NetApp HCI (H300E/H300S/H410C): Patch verfügbar beim Hersteller — Firmware-Version bitte im NetApp-Advisory nachschlagen. Bis dahin den Management-Zugang auf administrative Netze beschränken.
      • Lokalen Zugriff einschränken: Auf ungepatchten Systemen interaktive Shell-Zugänge für nicht-administrative Konten vorübergehend sperren (SSH AllowGroups, Shell auf /usr/sbin/nologin setzen). Gemeinsam genutzte Build-Server und Jump-Hosts vorrangig behandeln.
      • Integrität kritischer Dateien prüfen: Hashes von /etc/passwd, /etc/shadow sowie von SUID-Binärdateien (/usr/bin/su, /usr/bin/sudo, /usr/bin/passwd, /usr/bin/pkexec) mit Paketmanager-Referenzen vergleichen (rpm -Va, debsums -c). Achtung: Manipulationen liegen nur im Page Cache und überleben keinen Reboot — vor dem Neustart prüfen, bei Verdacht forensisches Speicherabbild sichern.

    2. Schritt 2 im Runbook

      Mitigation-Layer

      • Konfiguration/Container: Es gibt keinen Sysctl- oder Boot-Parameter, der die Schwachstelle neutralisiert. Für Container ein angepasstes seccomp-Profil ausrollen, das splice (sowie vmsplice, tee) mit SCMP_ACT_ERRNO blockiert — das Docker-Standardprofil erlaubt splice. Vorher auf Anwendungskompatibilität testen (Proxies, Webserver nutzen splice).
      • Containerisolation: Bekannte Exploit-Varianten überschreiben Host-Binärdateien wie runc über den gemeinsamen Page Cache. Nicht vertrauenswürdige Workloads auf gepatchte Nodes verlagern bzw. in VM-basierte Isolation (gVisor, Kata Containers) migrieren; Kubernetes-Nodes per Taint vom Scheduling ausnehmen, bis sie gepatcht sind.
      • IAM/Least Privilege: Anzahl lokaler Konten minimieren, Dienstkonten ohne Login-Shell betreiben, Codeausführung durch Webanwendungen (Upload-Funktionen, CI-Pipelines aus Fremd-Forks) unterbinden — die Schwachstelle wird typischerweise als zweite Stufe nach einem initialen Zugang genutzt.
      • Endpoint-Härtung: Schreibgeschützte Mounts schützen nicht (Page-Cache-Angriff). Stattdessen IMA/EVM oder Mandatory Access Control (SELinux enforcing, AppArmor) aktivieren, um Ausführung unerwarteter Binärdateien aus /tmp und /dev/shm einzuschränken; /tmp mit noexec,nosuid mounten.
      • Netzwerksegmentierung: Da der Angriff lokal erfolgt, den initialen Zugangsvektor reduzieren: SSH nur aus Management-VLANs erlauben, exponierte Dienste auf ungepatchten Hosts hinter WAF/Reverse-Proxy stellen.

    3. Schritt 3 im Runbook

      Detection-Regeln

      • auditd – splice-Aufrufe unprivilegierter Nutzer: -a always,exit -F arch=b64 -S splice -F auid>=1000 -F auid!=-1 -k dirtypipe. Anschließend auf Korrelation mit Lesezugriffen auf /etc/passwd oder SUID-Binärdateien durch denselben Prozess filtern.
      • Privilegienwechsel ohne legitimen Pfad (EDR/auditd): Prozess mit uid=0, dessen Elternprozess unter Nicht-Root-UID läuft und dessen Kette nicht über sudo/su mit erfolgreicher PAM-Authentifizierung führt. SPL-Skizze: index=linux sourcetype=auditd type=EXECVE euid=0 | where auid>=1000 AND NOT match(exe,"(sudo|su|pkexec)$").
      • Verdächtige Artefakte: Neu kompilierte bzw. ausgeführte ELF-Dateien in /tmp, /dev/shm oder Home-Verzeichnissen, gefolgt von einer Root-Shell; Anlage von SUID-Kopien einer Shell (z. B. /tmp/sh mit Mode 4755). Sigma-Form: logsource: linux/auditd; selection: syscall=chmod, a1 contains '4755', path startswith '/tmp/'.
      • Inhaltsabweichung Page Cache vs. Datenträger: Periodischer Abgleich der Hashes von /etc/passwd und SUID-Binärdateien gegen Paketreferenzen; ein Root-Eintrag ohne Passwort-Hash (root::0:0) oder ein unerwarteter UID-0-Eintrag ist ein starkes Indiz. Falco-Regel „Write below etc“ bzw. „Modify binary dirs“ aktivieren.
      • Container-Laufzeit: Falco/Tetragon-Alarm auf splice-Syscalls aus Containern mit anschließender Änderung oder Ausführung von runc auf dem Host.

    Erkennungsregeln

    Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

    Einordnung nach NIS2 und CRA

    Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

    NIS2

    NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

    Im Glossar lesen
    Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).
    CRA

    Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

    Im Glossar lesen
    Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.
    ISO/IEC 27001

    ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

    Im Glossar lesen
    Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

    Beschreibung

    Ein Fehler wurde im Umgang mit dem "flags"-Mitglied der neuen Pipe-Buffer-Struktur festgestellt, das in den Funktionen copy_page_to_iter_pipe und push_pipe des Linux-Kernels nicht ordnungsgemäß initialisiert wurde und daher veraltete Werte enthalten konnte. Ein unprivilegierter lokaler Benutzer könnte diesen Fehler ausnutzen, um auf Seiten im Seitencache zuzugreifen, die von schreibgeschützten Dateien unterstützt werden, und so ihre Berechtigungen im System erhöhen.

    Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

    Quelle: OSV (Open Source Vulnerabilities), CSA/SingCERT, Debian Security Advisories, siemens_advisory, NVD (NIST), cvelistv5, CISA KEV Catalog, CVE.org (MITRE)

    Betroffene Produkte

    Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

    Betroffene Produkte
    Betroffene VersionenBehoben in
    —kernel
    • Linux Kernel 5.17 rc6
    • —
    ovirtovirt-engine
    • 4.4.10.2
    • —
    redhatcodeready_linux_builder
    • —
    • —
    redhatvirtualization_host
    • 4.0
    • —
    android:linux_kernel:
    • :0
    • Kernel
    • :2022-05-05
    • —

    Hersteller und Produkte

    Betroffene Betriebssysteme

    Betroffene Betriebssysteme
    Linuxredhatenterprise_linux8.0
    Linuxredhatenterprise_linux_eus8.2
    Linuxredhatenterprise_linux_eus8.4
    Linuxredhatenterprise_linux_for_ibm_z_systems8.0
    Linuxredhatenterprise_linux_for_ibm_z_systems_eus8.2
    Linuxredhatenterprise_linux_for_ibm_z_systems_eus8.4
    Linuxredhatenterprise_linux_for_power_little_endian8.0
    Linuxredhatenterprise_linux_for_power_little_endian_eus8.2
    Linuxredhatenterprise_linux_for_power_little_endian_eus8.4
    Linuxredhatenterprise_linux_for_real_time8
    Linuxredhatenterprise_linux_for_real_time_for_nfv8
    Linuxredhatenterprise_linux_for_real_time_for_nfv_tus8.2
    Linuxredhatenterprise_linux_for_real_time_for_nfv_tus8.4
    Linuxredhatenterprise_linux_for_real_time_tus8.2
    Linuxredhatenterprise_linux_for_real_time_tus8.4
    Linuxredhatenterprise_linux_server_aus8.2
    Linuxredhatenterprise_linux_server_aus8.4
    Linuxredhatenterprise_linux_server_for_power_little_endian_update_services_for_sap_solutions8.1
    Linuxredhatenterprise_linux_server_for_power_little_endian_update_services_for_sap_solutions8.2
    Linuxredhatenterprise_linux_server_for_power_little_endian_update_services_for_sap_solutions8.4
    Linuxredhatenterprise_linux_server_tus8.2
    Linuxredhatenterprise_linux_server_tus8.4
    Linuxredhatenterprise_linux_server_update_services_for_sap_solutions8.1
    Linuxredhatenterprise_linux_server_update_services_for_sap_solutions8.2

    Weakness-Klassen (CWE)

    • CWE-665Improper Initialization

      Class

      The product does not initialize or incorrectly initializes a resource, which might leave the resource in an unexpected state when it is accessed or used.

      Eintrag bei MITRE CWE-665

    Öffentliche Exploit-Referenzen

    Öffentlich gemeldete Proof-of-Concepts, Exploit-Module und Detection-Templates zu dieser Schwachstelle. NEOSEC verlinkt ausschließlich auf die Originalquellen und stellt keinen Exploit-Code bereit.

    Öffentliche Exploit-Referenzen
    CISA KEV CatalogCISA Known Exploited Vulnerability (öffnet in neuem Tab)cisa.govaktiv ausgenutzt
    Packet StormDirty Pipe Linux Privilege Escalation (öffnet in neuem Tab)packetstormsecurity.comPoC (öffentlich gemeldet)gemeldet, nicht verifiziert—
    Packet StormDirty Pipe SUID Binary Hijack Privilege Escalation (öffnet in neuem Tab)packetstormsecurity.comPoC (öffentlich gemeldet)gemeldet, nicht verifiziert—
    Packet StormDirty Pipe Local Privilege Escalation (öffnet in neuem Tab)packetstormsecurity.comPoC (öffentlich gemeldet)gemeldet, nicht verifiziert—
    Packet StormLinux 4.20 KTLS Read Only Write (öffnet in neuem Tab)packetstormsecurity.comPoC (öffentlich gemeldet)gemeldet, nicht verifiziert—

    Quellen & Referenzen

    Verknüpfte Advisories

    Badge einbetten

    Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

    Badge-Vorschau für CVE-2022-0847
    <a href="https://intel.neosec.eu/cve/CVE-2022-0847"><img src="https://intel.neosec.eu/badge/cve/CVE-2022-0847.svg" alt="CVE-2022-0847 – NEOSEC Intel" height="20"></a>