Tre nya Linuxposter i CISA KEV

CISA uppdaterade den 18 september katalogen Known Exploited Vulnerabilities, KEV, med tre sårbarheter i Linuxkärnan: CVE-2025-39964, CVE-2026-53266 och CVE-2025-39682. Samtliga har nu belägg för aktiv exploatering och myndigheten anger den 21 september som sista åtgärdsdag för berörda amerikanska federala verksamheter. Alla tre är dessutom markerade för forensisk triage.

LabOps IT klassar den samlade händelsen som Akut för system där berörda funktioner är aktiva och en angripare kan nå den lokala eller nätverksnära attackytan. För övriga Linuxsystem är prioriteten Hög tills distributionens säkerhetsspårare visar att den installerade kernelgrenen inte påverkas eller redan innehåller rätt backport.

Det här är inte ett besked om att varje Linuxserver är sårbar på samma sätt. Kernelkonfiguration, distributionens backportar, arkitektur, nätverksregler och exponerade funktioner avgör den faktiska risken. CISA:s besked förändrar ändå prioriteringen: sårbarheterna ska inte längre behandlas som enbart teoretiska kernelbuggar.

CVE-2025-39964: samtidiga skrivningar till AF_ALG

CVE-2025-39964 är ett race condition i Linuxkärnans användargränssnitt för kryptografi, AF_ALG. Två samtidiga skrivningar till samma socket kan blanda data på ett oförutsägbart sätt och skapa inkonsekvens i socketens interna tillstånd. Upstreamkorrigeringen inför exklusivt ägarskap för skrivning så att parallella anrop stoppas.

Poängsättningen skiljer sig tydligt mellan leverantörer. Linux Kernel CNA och flera leverantörer anger CVSS 7,8, medan Canonical bedömer Ubuntu-påverkan till CVSS 3,3 och prioritet Medium. Skillnaden visar varför generella CVSS-värden inte bör användas ensamma för distributionskernel: byggval och backportar påverkar konsekvensen. Aktiv exploatering höjer samtidigt den operativa prioriteten oavsett den lägre Ubuntu-poängen.

Canonical anger att Ubuntu 26.04 LTS inte påverkas. För de generiska kernelpaketen är exempel på första korrigerade nivåer 6.8.0-90.91 för Ubuntu 24.04 LTS, 5.15.0-164.174 för Ubuntu 22.04 LTS och 5.4.0-224.244 för Ubuntu 20.04 LTS med Ubuntu Pro. Moln-, KVM-, HWE-, realtids- och OEM-kernel har egna paketnivåer och måste kontrolleras separat.

CVE-2026-53266: minnesskrivning i ebtables SNAT

CVE-2026-53266 finns i bridge/netfilter-koden för ebtables SNAT. Vid omskrivning av avsändarens hårdvaruadress i ARP kan koden skriva i ett icke-linjärt socket-bufferfragment som stöds av en filbackad minnessida. Resultatet kan bli minneskorruption, överbelastning eller lokal privilegieeskalering.

Red Hat klassar felet som Important med CVSS 7,5 för sina produkter, medan cve.org anger 8,8. Red Hats analys beskriver en lokal angripare och krav på särskilda bridge-netfilterregler, vilket begränsar exponeringen jämfört med en generell fjärrattack. Som tillfällig mitigering kan ARP-omskrivning i ebtables SNAT stängas av eller berörda SNAT-regler för ARP på brygginterface tas bort.

Det finns inte en enda kernelversion som kan användas som säkert facit för alla distributioner. Korrigeringen har backportats till flera stabila kernelgrenar, och distributionsleverantörer kan behålla ett äldre versionsnummer med en separat säkerhetspatch. Kontrollera därför CVE-status och errata för den faktiska distributionen och kernelvarianten i stället för att bara jämföra resultatet från uname -r med upstream.

De tre sårbarheterna träffar olika kernelvägar men kräver samma operativa kedja: leverantörskontroll, uppdatering, omstart och verifiering av den kärna som faktiskt körs.

CVE-2025-39682: fel i kernel-TLS mottagningskö

CVE-2025-39682 berör mottagningsvägen i kernel-TLS. En nollängdspost som hämtas från rx_list kan kringgå den avsedda hanteringen av posttyp. Efterföljande TLS-poster riskerar då att behandlas med felaktiga antaganden om zero-copy och köhantering.

Även här skiljer sig riskbedömningen. Linux Kernel CNA anger CVSS 9,8 och en nätverksbaserad vektor, medan NVD:s egen analys anger 7,1 och en lokal angripare med låg behörighet. I drift bör man därför utgå från distributionens produktbedömning och samtidigt väga in att CISA nu har verifierat exploatering.

NVD anger upstreamgrenar som korrigerade från 6.1.149, 6.6.103, 6.12.44 och 6.16.4. Dessa nummer är användbara för rena upstreamkärnor men inte ett fullständigt facit för exempelvis Ubuntu, Debian, RHEL, SUSE eller applianceleverantörer som backportar patchar.

Rekommenderad åtgärdsordning

  1. Inventera den kernel som faktiskt körs med uname -r och paketdatabasen. Ta med virtuella värdar, containervärdar, brandväggar, lagringsnoder, molninstanser och appliances som bygger på Linux.
  2. Slå upp samtliga tre CVE:er hos den egna distributionen. Kontrollera rätt kernelvariant: generic, HWE, cloud, KVM, real-time, OEM och leverantörsspecifika appliancekärnor kan ha olika korrigerade paketnivåer.
  3. Installera distributionens senaste säkerhetskernel. Lita inte på att ett högre versionsnummer från en annan distribution innebär samma patchinnehåll.
  4. Starta om systemet om inte leverantören uttryckligen bekräftar att en aktiv livepatch täcker den aktuella CVE:n och den installerade kernelvarianten. En installerad kernel skyddar inte förrän systemet kör den.
  5. Verifiera efter omstart med uname -r, paketstatus och leverantörens CVE-spårare. Kontrollera att bootloadern inte startade en äldre fallbackkernel.
  6. Om CVE-2026-53266 inte kan patchas direkt: inventera och ta bort eller begränsa ebtables SNAT-regler som skriver om ARP-adresser på bridgeinterface, efter test av nätverksfunktionen.
  7. Bevara relevanta audit-, autentiserings-, kernel-, brandväggs- och nätflödesloggar. CISA kräver forensisk triage för samtliga tre poster, vilket är en signal att även andra verksamheter bör kontrollera oväntade krascher, kernelvarningar, privilegiehöjningar och avvikande nätaktivitet.

Driftpåverkan

Kerneluppdateringen kräver normalt omstart och kan påverka drivrutiner, DKMS-moduler, lagring, nätverksfilter och virtualiseringsfunktioner. I kluster bör noder tas en i taget med verifierad redundans och fungerande failover. Kontrollera särskilt externa kernelmoduler för backup, EDR, GPU, nätverkskort och lagring innan bred utrullning.

För containermiljöer är värdkärnan avgörande. Att bygga om en containerimage korrigerar inte hostens kernel. På samma sätt kan en virtuell appliance kräva en komplett leverantörsuppdatering i stället för manuell installation av ett distributionspaket. Kontakta leverantören om kernelversionen är dold eller låst.

Efter uppgraderingen bör övervakningen bekräfta normal nätverkstrafik, TLS-funktion, bridge- och brandväggsregler samt frånvaro av nya kernel-oops eller modulfel. Dokumentera både installerad paketversion och körande kernelversion så att förändringen går att revidera.

LabOps IT:s bedömning

Den praktiska risken är ojämn men publiceringströskeln är tydligt uppnådd eftersom CISA har bekräftat aktiv exploatering av tre kernelbrister samtidigt. Akut gäller exponerade system med berörda funktioner, oklar patchstatus eller lokal angriparyta. Hög gäller övriga berörda Linuxsystem som behöver planerad men snabb kerneluppdatering och omstart.

Det största driftmisstaget vore att jämföra enbart huvudversionen eller installera paket utan att starta om. Distributionskernel innehåller backportar som inte syns i upstreamnumret, och den gamla kärnan fortsätter köras tills nästa boot. Använd därför leverantörens CVE-spårare som facit, genomför förändringen klustervis och verifiera den körande nivån efteråt.

Källor