Linux Kernel: Use-After-Free (CVE-2026-97594)

Was ist betroffen, was ist zu tun

Im Linux-Kernel wurde folgende Schwachstelle behoben: landlock: Behebung des Use-After-Free-Fehlers des übergeordneten Verzeichnisses der Quelle Die Funktion `current_check_refer_path()` liest `old_dentry->d_parent` ohne einen Verweis oder ein Lock darauf zu halten und dereferenziert es dann in `collect_domain_accesses()` und im Audit-Protokoll. Ein Verweis auf ein Kind verankert nicht sein übergeordnetes Verzeichnis: `__d_move()` weist `dentry->d_parent` neu zu und gibt den Verweis auf, den das Kind auf sein früheres übergeordnetes Verzeichnis hielt. `hook_path_rename()` ist davon nicht betroffen, da der Pfad-Umbenennen-Vorgang `lock_rename()` vor dem Hook aufruft, sodass die Quelle nicht unter ihm neu verankert werden kann. `hook_path_link()` hat keinen solchen Schutz: `filename_linkat()` hält einen Verweis auf das Quell-Verzeichniseintrag, aber es lockt oder referenziert nicht sein übergeordnetes Verzeichnis, sodass ein gleichzeitiger `rename(2)`-Aufruf die Quelle während der Ausführung von `security_path_link()` neu verankern kann, und das frühere übergeordnete Verzeichnis kann dann entfernt und freigegeben werden, während der Hook es durchläuft.

Aktualisieren Sie Linux Kernel auf Version 6.12.112, Linux Kernel auf Version 6.18.53, Linux Kernel auf Version 7.2.7.

Betroffen

• Linux Kernel lt 5.19..6.12.112
• Linux Kernel lt 6.13..6.18.53
• Linux Kernel lt 6.19..7.2.7

Behoben in

• Linux Kernel 6.12.112
• Linux Kernel 6.18.53
• Linux Kernel 7.2.7
• Linux Kernel 7.3

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Im Linux-Kernel wurde folgende Schwachstelle behoben: landlock: Behebung des Use-After-Free-Fehlers des übergeordneten Verzeichnisses der Quelle Die Funktion `current_check_refer_path()` liest `old_dentry->d_parent` ohne einen Verweis oder ein Lock darauf zu halten und dereferenziert es dann in `collect_domain_accesses()` und im Audit-Protokoll. Ein Verweis auf ein Kind verankert nicht sein übergeordnetes Verzeichnis: `__d_move()` weist `dentry->d_parent` neu zu und gibt den Verweis auf, den das Kind auf sein früheres übergeordnetes Verzeichnis hielt. `hook_path_rename()` ist davon nicht betroffen, da der Pfad-Umbenennen-Vorgang `lock_rename()` vor dem Hook aufruft, sodass die Quelle nicht unter ihm neu verankert werden kann. `hook_path_link()` hat keinen solchen Schutz: `filename_linkat()` hält einen Verweis auf das Quell-Verzeichniseintrag, aber es lockt oder referenziert nicht sein übergeordnetes Verzeichnis, sodass ein gleichzeitiger `rename(2)`-Aufruf die Quelle während der Ausführung von `security_path_link()` neu verankern kann, und das frühere übergeordnete Verzeichnis kann dann entfernt und freigegeben werden, während der Hook es durchläuft. Ein Prozess kann dies auslösen, nachdem er in eine Landlock-Domäne eingetreten ist, die mindestens einen Dateisystemzugriffsrechte handhabt. Der Prozess kann dann einen `linkat(2)`-Schleife gegen `rename(2)` und `rmdir(2)` rennen: BUG: KASAN: slab-use-after-free in `collect_domain_accesses+0x278/0x290` Lesen der Größe 4 an der Adresse `ffff888160bd53f4` durch die Aufgabe `llrepro2/549` `collect_domain_accesses+0x278/0x290` `current_check_refer_path+0x952/0x1120` `security_path_link+0x1be/0x320` `filename_linkat+0x342/0x6d0` `__x64_sys_linkat+0xfa/0x150` Freigegeben durch die Aufgabe 562: `kmem_cache_free+0x139/0x4c0` `i_callback+0x4b/0x80` `rcu_core+0x7dc/0x10a0` Nehmen Sie einen Verweis auf das Verzeichniseintrag, das als Quelle übergeordnetes Verzeichnis ausgewählt wurde, unter Verwendung von `dget()` für den Fall des gemeinsamen Mount-Roots und `dget_parent()` sonst. Entlassen Sie es nach dem Hierarchie-Durchlauf und der synchronen Audit-Protokollierung. [mic: Klären Sie den Aufrufer, die Erreichbarkeit und die Verweisbehandlung]

Quelle: Debian Security Advisories, cvelistv5, Microsoft Security Update Guide, NVD (NIST), BSI WID Portal, BSI CSAF

Quellen & Referenzen

• git.kernel.orgstable/c/379efd2ce8b26fd35feb13ccc2f671ff105a5052
• git.kernel.orgstable/c/ba29c46ccfe3ebadfb8aa18149186c49f84b14f8
• git.kernel.orgstable/c/2c6dc792538260a8087ac5b22c31b3b8e47c85d6
• git.kernel.orgstable/c/4c37992b9668c4f37aae41dd95c369f7b6009915

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE – Reanalyses, CVSS-Updates, CPE-Diffs.

1. CVE Modified19.10.2026416baaa9-dc9f-4396-8d5f-8c081fb06d67

   • Affected: nachher Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/97xxx/CVE-2026-97594.json">CVE-2026-97594</a>

2. CVE Modified03.10.2026416baaa9-dc9f-4396-8d5f-8c081fb06d67

   • Affected: nachher Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/97xxx/CVE-2026-97594.json">CVE-2026-97594</a>
   • Reference: nachher https://git.kernel.org/stable/c/4c37992b9668c4f37aae41dd95c369f7b6009915

3. CVE Modified25.09.2026416baaa9-dc9f-4396-8d5f-8c081fb06d67

   • CVSS V3.1: nachher AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

4. New CVE Received25.09.2026416baaa9-dc9f-4396-8d5f-8c081fb06d67

   • Description: nachher In the Linux kernel, the following vulnerability has been resolved: landlock: Fix use-after-free of the source's parent directory current_check_refer_path() reads old_dentry->d_parent without holding a reference nor a lock on it, and then dereferences it in collect_domain_accesses() and in the audit record. A reference on a child does not pin its parent: __d_move() reassigns dentry->d_parent and drops the reference the child held on its former parent. hook_path_rename() is not affected because the rename path calls lock_rename() before the hook, so the source cannot be reparented under it. hook_path_link() has no such protection: filename_linkat() holds a reference on the source dentry but neither locks nor references its parent, so a concurrent rename(2) can reparent the source while security_path_link() runs, and the former parent can then be removed and freed while the hook walks it. A process can trigger this after entering a Landlock domain that handles at least one filesystem access right. The process can then race a linkat(2) loop against rename(2) and rmdir(2): BUG: KASAN: slab-use-after-free in collect_domain_accesses+0x278/0x290 Read of size 4 at addr ffff888160bd53f4 by task llrepro2/549 collect_domain_accesses+0x278/0x290 current_check_refer_path+0x952/0x1120 security_path_link+0x1be/0x320 filename_linkat+0x342/0x6d0 __x64_sys_linkat+0xfa/0x150 Freed by task 562: kmem_cache_free+0x139/0x4c0 i_callback+0x4b/0x80 rcu_core+0x7dc/0x10a0 Take a reference on the dentry selected as the source parent, using dget() for the common-mount-root case and dget_parent() otherwise. Release it after the hierarchy walk and synchronous audit logging. [mic: Clarify the caller, reachability, and reference handling]
   • Affected: nachher New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/97xxx/CVE-2026-97594.json">CVE-2026-97594</a>
   • Reference: nachher https://git.kernel.org/stable/c/2c6dc792538260a8087ac5b22c31b3b8e47c85d6
   • Reference: nachher https://git.kernel.org/stable/c/379efd2ce8b26fd35feb13ccc2f671ff105a5052