Untersuchung von Qualys 9 Schwachstellen bedrohen Millionen Linux-Systeme

Im Standard-Zugriffsmechanismus von Linux-Systemen „AppArmor“ haben Sicherheitsforscher von Qualys neun Schwachstellen gefunden, die Root-Zugriff ermöglichen könnten. Die Forscher empfehlen, den Kernel zu ak­tua­li­sier­en und kritisieren gleichzeitig den Patch-Prozess.

Unter dem Namen „CrackArmor“ verfolgt das Threat-Research-Team von Qualys eigenen An­gaben nach eine Reihe von Si­cher­heitslücken in „AppArmor“, einem weit verbreiteten Si­cher­heits­mo­dul im Linux-Kernel. Die insgesamt neun Schwachstellen bestünden seit 2017, damals in Version Version v4.11, und würden über 12,6 Millionen Unternehmenssysteme anfällig ma­chen. Angreifer seien in der Lage gewesen, sich damit vollständigen Root-Zugriff zu ver­schaf­fen, Container-Ausbrüche auszuführen und systemweite Abstürze zu verursachen. Qualys emp­fiehlt, den Kernel sofort zu patchen, um diese Schwachstellen zu beheben.

3 Updates seit Oktober 2025

BSI stuft Linux-Schwachstelle als kritisch ein

Confused-Deputy-Schwachstelle

AppArmor dient standardmäßig als Zugriffskontrollmechanismus für Ubuntu, Debian, Suse und zahlreiche Cloud-Plattformen und kommt auch in Unternehmensumgebungen, Kuber­ne­tes, IoT und Edge-Umgebungen zum Einsatz. Sofern AppArmor aktiviert ist, sind alle Linux-Kernel-Versionen ab 4.11 von den Sicherheitslücken betroffen.

Die CrackArmor-Sicherheitslücken nutzen den Analysten zufolge eine sogenannte „Confused Deputy”-Schwachstelle aus, die ein vertrauenswürdiges Programm mit höheren Be­rech­ti­gun­gen dazu manipuliere, seine Befugnisse zu missbrauchen. Angreifer würden so Systemprozesse dazu verleiten, böswillige Aktionen in ihrem Namen auszuführen, wodurch sie Sicherheits­kon­trol­len effektiv umgehen und sich unbefugten Zugriff verschaffen oder Berechtigungen eska­lier­en könnten, ohne dass sie über Administratorrechte verfügen müssten. Zudem könnten sie beliebigen Code im Kernel ausführen und so beispielsweise Denial-of-Service-Angriffe durch­führen.

Eine Confused-Deputy-Schwachstelle ist eine Sicherheitslücke, bei der ein privilegiertes Pro­gramm oder Dienst, der Deputy, von einem weniger privilegierten Angreifer getäuscht wird, um unbefugte Aktionen im Namen des Deputys auszuführen. Dieses Problem entsteht, wenn der privilegierte Dienst nicht in der Lage ist, kontextbezogene Anfragen ausreichend zu vali­dier­en, was es einem unbefugten Akteur ermöglicht, legitime Aktionen auszuführen, die er sonst nicht durchführen könnte.

„Diese Entdeckungen verdeutlichen gravierende Lücken in unseren Annahmen zur stan­dard­mä­ßi­gen Sicherheit. CrackArmor beweist, dass selbst die etabliertesten Schutzmechanismen ohne Administratorrechte umgangen werden können“, kommentiert Dilip Bachwani, Chief Technology Officer bei Qualys. „Für CISOs bedeutet dies, dass das alleinige Einspielen von Patches nicht ausreicht; wir müssen unsere gesamte Annahme darüber, was 'Stan­dard­kon­fi­gu­ra­tio­nen' für unsere Infrastruktur bedeuten, überdenken.“

Apache Tomcat und Tomcat Native

BSI warnt vor drei kritischen Apache-Schwachstellen

Kritik am Patch-Prozess

Qualys habe einen Proof of Concept zu den CrackArmor-Schwachstellen erstellt, wolle diesen allerdings nicht veröffentlichen, um die Wahrscheinlichkeit einer Ausnutzung nicht noch weiter zu erhöhen. Zudem hätten die Forscher die Schwachstellen an die Sicherheitsteams von be­troffenen Linux-Distributionen wie Ubuntu, Debian und Suse gemeldet.

Zum Zeitpunkt der Veröffentlichung der Analyse wurden den Softwarefehlern, die mit Crack­Armor beschrieben werden, noch keine CVE- oder EUVD-IDs zugeordnet. Dies habe den Ana­lys­ten zufolge einen bestimmten Hintergrund, den sie als kritisch betrachten. Da die Sicher­heits­lücken im Upstream-Linux-Kernel vorhanden seien, könne nur das Upstream-Kernel-Team CVEs dazu vergeben. Nachdem ein Fix mit einer stabilen Kernel-Version veröffentlicht werde, dauere es in der Regel ein bis zwei Wochen, bis dieses Team IDs vergeben würden. Diese be­wusste Verzögerung solle Nutzern, die regelmäßig stabile Versionen verfolgen, Zeit geben, die Schwachstellen zu patchen, bevor sie mit den IDs öffentlich bekannt gemacht würden. „Wir respektieren zwar die Intention dieses Ansatzes, möchten aber darauf hinweisen, dass die diesem Prozess zugrunde liegenden Annahmen nicht immer mit der praktischen Funk­tions­wei­se von Sicherheits-Tracking und Patching übereinstimmen, nicht nur in Unter­neh­mens­um­ge­bun­gen, sondern im gesamten Ökosystem, wo CVEs als wichtiges Koordinierungssignal dienen“, heißt es in der Analyse. „Lassen Sie sich durch das Fehlen einer CVE-Nummer nicht die Bedeutung dieser Schwachstellen schmälern. Wenn Sie betroffene Versionen verwenden, nehmen Sie diese Empfehlung ernst und aktualisieren Sie Ihre Software entsprechend.“

Qualys habe seine eigenen Produkte und Plattformen einer gründlichen Überprüfung unter­zo­gen und könne bestätigen, dass diese von den Sicherheitslücken nicht betroffen seien. Ubuntu hat kurz vor Veröffentlichung der Qualys-Analyse einen Sicherheitshinweis zu CrackArmor veröffentlicht, von Suse und Debian gibt es keine gesonderten Meldungen. Die offizielle Linux-Kernel-Seite hat eine Übersicht mit den Updates von März 2026 veröffentlicht, die die Sicherheitslücken von CrackArmor schließen. Diese sind 6.19.8, 6.12.77, 6.6.129, 6.1.166 und 5.15.202.

Kernel-Härtung, Überwachung und Sandboxing erhöhen die Sicherheit

So verbessern Sie die Sicherheit Ihrer Linux-Systeme

(ID:50787292)