Linux Kernel: Sicherheitslücke (CVE-2026-98040)

Was ist betroffen, was ist zu tun

Im Linux-Kernel wurde die folgende Schwachstelle behoben: bpf: Markiere das Nullregister als präzise für einen NULL-Check in Registerform check_cond_jmp_op() akzeptiert "if rA <op> rB" als NULL-Check für einen optionalen Zeiger rA, wenn rB ein Skalar ist, der bekanntermaßen null ist, hebt PTR_MAYBE_NULL von rA im entsprechenden Zweig auf und markiert rB nicht als präzise. Betrachten Sie das folgende Programm: r0 = bpf_get_prandom_u32(); r6 = 1; /* der r6 == 0 Pfad wird zuerst erkundet */ if (r0 == 0) goto 1f; r6 = 0; 1: r0 = bpf_map_lookup_elem(map, &0); /* abwesend, NULL zur Laufzeit */ if (r0 == r6) goto 2f; /* als NULL-Check für r0 interpretiert */ *(u8 *)(r0 + 0); /* Verifizierer: Kartenwert; Laufzeit: null */ 2: return 0; Der r6 == 0 Pfad wird zuerst erkundet und der Dereferenz wird akzeptiert.

Aktualisieren Sie Linux Kernel auf Version 7.2.7, Linux Kernel auf Version 7.3.

Betroffen

• Linux Kernel lt 7.1..7.2.7

Behoben in

• Linux Kernel 7.2.7
• Linux Kernel 7.3

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Behandeln Sie die Schwachstelle im regulären Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Im Linux-Kernel wurde die folgende Schwachstelle behoben: bpf: Markiere das Nullregister als präzise für einen NULL-Check in Registerform check_cond_jmp_op() akzeptiert "if rA <op> rB" als NULL-Check für einen optionalen Zeiger rA, wenn rB ein Skalar ist, der bekanntermaßen null ist, hebt PTR_MAYBE_NULL von rA im entsprechenden Zweig auf und markiert rB nicht als präzise. Betrachten Sie das folgende Programm: r0 = bpf_get_prandom_u32(); r6 = 1; /* der r6 == 0 Pfad wird zuerst erkundet */ if (r0 == 0) goto 1f; r6 = 0; 1: r0 = bpf_map_lookup_elem(map, &0); /* abwesend, NULL zur Laufzeit */ if (r0 == r6) goto 2f; /* als NULL-Check für r0 interpretiert */ *(u8 *)(r0 + 0); /* Verifizierer: Kartenwert; Laufzeit: null */ 2: return 0; Der r6 == 0 Pfad wird zuerst erkundet und der Dereferenz wird akzeptiert. Der r6 == 1 Pfad wird am Checkpoint für (1) ausgeschnitten, so dass der Vergleich nie mit einem nicht-null r6 verifiziert wird. Zur Laufzeit gibt ein fehlgeschlagener Lookup NULL zurück, NULL != 1 nimmt den nicht-NULL-Zweig und das Programm dereferenziert einen Zeiger, der null ist.

Quelle: BSI WID Portal, BSI CSAF, cvelistv5, NVD (NIST)

Quellen & Referenzen

• git.kernel.orgstable/c/ddca9a3b8833168dda3e62676648a636fb3f221c
• git.kernel.orgstable/c/6aed0134d3cda6382385a734ae0158eb7df6b142

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE – Reanalyses, CVSS-Updates, CPE-Diffs.

1. CVE Modified19.10.2026416baaa9-dc9f-4396-8d5f-8c081fb06d67

   • Affected: nachher Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/98xxx/CVE-2026-98040.json">CVE-2026-98040</a>

2. New CVE Received25.09.2026416baaa9-dc9f-4396-8d5f-8c081fb06d67

   • Description: nachher In the Linux kernel, the following vulnerability has been resolved: bpf: Mark the zero register precise for a register-form NULL check check_cond_jmp_op() accepts "if rA <op> rB" as a NULL check for a nullable pointer rA when rB is a scalar known to be zero, lifts PTR_MAYBE_NULL from rA in the corresponding branch and does not mark rB precise. Consider the following program: r0 = bpf_get_prandom_u32(); r6 = 1; /* the r6 == 0 path is explored first */ if (r0 == 0) goto 1f; r6 = 0; 1: r0 = bpf_map_lookup_elem(map, &0); /* absent, NULL at runtime */ if (r0 == r6) goto 2f; /* taken as a NULL check for r0 */ *(u8 *)(r0 + 0); /* verifier: map value; runtime: zero */ 2: return 0; The r6 == 0 path is explored first and the dereference is accepted. The r6 == 1 path is pruned at the checkpoint recorded for (1), so the comparison is never verified with a non-zero r6. At runtime a failed lookup returns NULL, NULL != 1 takes the non-NULL edge and the program dereferences a pointer that is zero.
   • Affected: nachher New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/98xxx/CVE-2026-98040.json">CVE-2026-98040</a>
   • Reference: nachher https://git.kernel.org/stable/c/6aed0134d3cda6382385a734ae0158eb7df6b142
   • Reference: nachher https://git.kernel.org/stable/c/ddca9a3b8833168dda3e62676648a636fb3f221c