Sicherheitsforscher von Exodus Intelligence haben die technische Analyse einer schwerwiegenden Schwachstelle im Linux-Kernel veröffentlicht, die Angreifern erlaubt, auf betroffenen Systemen unbemerkt Root-Rechte zu erlangen. Die Lücke, unter der Kennung CVE-2026-23111 geführt und bereits am 5. Februar 2026 durch einen Upstream-Patch geschlossen, steckt im sogenannten nftables-Subsystem, dem modernen Nachfolger von iptables zur Paketverwaltung im Linux-Netzwerkstack.

Mit der Veröffentlichung zeigen die Forscher erstmals öffentlich, wie real und stabil ausnutzbar die Schwachstelle war, die für viele Administratoren bislang nur eine abstrakte CVE-Nummer darstellte.

Use-after-Free-Lücke

Die eigentliche Ursache der Schwachstelle ist ein klassischer Programmierfehler: Ein falsch gesetzter Negationsoperator im Quellcode führt dazu, dass beim Rückgängigmachen einer fehlgeschlagenen nftables-Transaktion ein Referenzzähler nicht korrekt aktualisiert wird. Konkret geht es um das Zusammenspiel von sogenannten Verdict Maps, die Netzwerkpakete auf Chains verweisen können, und sogenannten Catchall-Elementen, die als Wildcard-Einträge fungieren.

Wird eine solche Verdict Map gelöscht und der Vorgang danach aufgrund eines Fehlers in der gleichen Batch-Transaktion abgebrochen, bleibt ein Catchall-Element fälschlicherweise inaktiv. Der Referenzzähler der zugehörigen Chain sinkt dabei auf null, obwohl noch gültige Zeiger auf sie existieren.

Dieser Umstand macht die Schwachstelle zu einer Use-after-free-Lücke: Da der Referenzzähler null beträgt, lässt sich die Chain löschen, obwohl sie noch aktiv referenziert wird. Ein Angreifer, der zunächst einen neuen Netzwerk-Namespace anlegt, was für unprivilegierte Nutzer auf Debian ohne weitere Einschränkungen möglich ist, kann anschließend durch eine Abfolge gezielter nftables-Batches diese Situation herbeiführen.

Auf Ubuntu 24.04, das unprivilegierten Nutzern das Anlegen von Namespaces standardmäßig verwehrt, lässt sich diese Hürde mit einem einzigen Befehl umgehen. Durch die Use-after-free-Lücke greift der Angreifer auf freigegebenen Kernel-Speicher zu und gewinnt so die Kontrolle über den Programmfluss.

Mehrstufiger Exploit

Den Forschern gelang es, auf Basis dieser Lücke einen vollständigen Exploit zu entwickeln, der in mehreren Stufen vorgeht: Zuerst wird die Schwachstelle ausgelöst, anschließend werden durch Speicherartefakte die Kernel-Basisadresse und Heap-Adressen geleakt, um die Kernel-Adressraum-Randomisierung (KASLR) zu umgehen.

Im letzten Schritt übernehmen die Angreifer die Kontrolle über den Programmfluss mittels einer ROP-Chain, die Root-Rechte einspielt. Die Stabilität des Exploits liegt auf einem ruhenden System bei über 99 Prozent und selbst unter starker Systemlast noch bei rund 80 Prozent.

Die Forscher folgten bei der Veröffentlichung dem Prinzip der koordinierten Offenlegung: Die Lücke wurde Anfang 2025 entdeckt, still an die Kernel-Maintainer gemeldet und erst nach dem Patch öffentlich dokumentiert. Betroffen waren Debian Bookworm, Debian Trixie, Ubuntu 22.04 LTS sowie Ubuntu 24.04 LTS. Wer auf diesen Systemen noch keine aktuellen Kernel-Updates eingespielt hat, sollte das umgehend nachholen. Der Patch ist seit dem 5. Februar 2026 im Upstream-Kernel verfügbar.