Eine schwerwiegende Sicherheitslücke, bekannt als Bad Epoll (CVE-2026-46242), betrifft den Linux-Kernel. Sie ermöglicht es einem lokalen Benutzer, ohne jegliche Berechtigungen Root-Zugriff zu erlangen. Diese Sicherheitslücke betrifft Server, Workstations und Android-Geräte gleichermaßen.
Bad Epoll nutzt eine Use-After-Free-Schwachstelle im Epoll-Mechanismus aus, der unter Linux und Android weit verbreitet zur Verarbeitung von Datei- und Netzwerkereignissen eingesetzt wird. Das Problem wurde vom Forscher Jaeyoung Chung entdeckt und stellt eine kritische Sicherheitslücke dar, die dringend behoben werden muss.
Lassen Sie uns untersuchen, wie diese Sicherheitslücke funktioniert, warum sie so geheim gehalten wird und welche Lösungen bereits verfügbar sind.
Bad Epoll: eine Race-Condition-Schwachstelle im Linux-Kernel
Epoll, kurz für „Event Poll“, dient der gleichzeitigen Überwachung zahlreicher Dateien oder Verbindungen und ist eine entscheidende Komponente für die Stabilität vieler Dienste. Es zu deaktivieren, ist vergleichbar mit einem Systemabsturz – eine Lösung, die Sie unbedingt vermeiden sollten, wenn Ihnen Ihr System wichtig ist.
Das Kernproblem ist eine Use-After-Free-Situation, die durch eine Race Condition verursacht wird. Konkret wird eine Speicherstruktur freigegeben, während sie von einem anderen Vorgang noch verwendet wird. Dies führt zunächst zu geringfügigen Datenbeschädigungen, die jedoch durch eine Beeinträchtigung der Speicherverwaltung von Linux verstärkt werden können.
Das Zeitfenster, in dem diese Situation auftritt, ist extrem kurz, kaum sechs Maschinenbefehle. Chungs Lösung umgeht dieses Problem jedoch, indem sie die Versuche vervielfacht, ohne das System zum Absturz zu bringen, und dabei eine Erfolgsquote von etwa 99 % erzielt.
Eine Schwachstelle, die von hochentwickelten Tools unentdeckt bleibt.
Die Sicherheitslücke in Epoll wurde 2023 durch einen Commit mit zwei Race Conditions in einen großen Teil des Epoll-Codes eingeführt. Das KI-Modell Mythos von Anthropic erkannte eine dieser Race Conditions (CVE-2026-43074), übersah jedoch die andere.
Zwei Hypothesen erklären dieses Fehlen: das sehr kurze Zeitfenster, das schwer zu modellieren ist, und die Tatsache, dass es die KASAN-Erkennung, den Hauptspeicherschutz des Kernels, nicht aktiviert. Dies macht Bad Epoll zu einer schwer fassbaren Bedrohung.
Interessanterweise gelang es Mythos zwar, eine ähnliche Schwachstelle zu identifizieren, doch erkannten sie nicht, dass die doppelte Schwachstelle weitaus kritischer sein würde.
Weitreichende Auswirkungen: Schlechtes Epoll betrifft sowohl Linux als auch Android
Ein weiterer alarmierender Aspekt: Die Sicherheitslücke kann sogar von einem isolierten Prozess wie dem Chrome-Renderer ausgenutzt werden. Das bedeutet, dass bei Ausführung von Code innerhalb dieses Renderers eine Rechteausweitung bis zum Root-Zugriff möglich ist, wodurch die Sandbox außer Kraft gesetzt wird.
Bad Epoll ist eine der wenigen Linux-Kernel-Schwachstellen, die auch Android betreffen. Die meisten Kernel-Privilegienerweiterungen erreichen dieses Ökosystem nicht, was diesen Fehler umso gravierender macht.
Von den rund hundert Schwachstellen, die über das kernelCTF-Programm entdeckt wurden, sind nur etwa zehn auf Android ausnutzbar, und Bad Epoll ist eine davon.
Ein ökonomischer Fehler, der in den aktuellen Kerneln dringend behoben werden muss.
Der fehlerhafte Epoll-Fehler betrifft Kernel ab Version 6.4. Distributionen und Geräte mit Kernel 6.1 oder niedriger sind daher nicht betroffen. Das ist eine gute Nachricht für einige ältere Android-Smartphones, die noch nicht aktualisiert wurden.
Die Korrektur ist in einem Patch mit der Referenznummer a6dc643c6931 enthalten. Debian 13 bietet den Patch beispielsweise über seinen Kernel 6.12.95-1 an. Um sich zu schützen, sollten Sie dieses Update unbedingt installieren oder bei Ihrem üblichen Lieferanten nachfragen, ob die Patches bereits bereitgestellt wurden.
Es sei darauf hingewiesen, dass die Deaktivierung von epoll keine realistische Option darstellt, da dies die Mehrheit der abhängigen Dienste in Linux und Android beeinträchtigen würde.
Eine Schwachstelle, die in der Natur noch nicht ausgenutzt wurde
Bislang wurden keine Fälle aktiver Ausnutzung gemeldet. Der Fehler ist nicht in der CISA-Liste aktiv ausgenutzter Schwachstellen aufgeführt. Der einzige bekannte Exploit ist ein Proof-of-Concept, der auf der kernelCTF vorgestellt wurde.
Das Ausbleiben eines massiven Angriffs sollte uns nicht in falscher Sicherheit wiegen; ganz im Gegenteil. Für einen Linux-Administrator ist es wie ein festgefahrener Motor, dessen Wartung verspätet war: Das Problem ist latent vorhanden, aber der Ausfall kann plötzlich erfolgen.
Es wird außerdem empfohlen, Sicherheitsmeldungen im Zusammenhang mit CVE-2026-46242 zu überwachen und Ihre Systeme regelmäßig auf dem neuesten Stand zu halten.