bk99.de entertain the web since 1997

bk99.de
SD · SicherheitKuratiert

Linux-Kernel nähert sich 2.000 CVEs pro Release

Zusammenfassung

Eine Folie von Greg Kroah-Hartman für den Vortrag bei Kernel Recipes 2026 in Paris zeigt, dass die Zahl der CVEs pro Linux-Version stark gestiegen ist. Statt früher etwa 500 sind es inzwischen fast 2.000 behobene Lücken pro Release, mit Linux 7.3 könnte die Marke überschritten werden. Als Grund gelten KI-Modelle, die den riesigen Kernel-Quellcode systematisch nach Fehlern durchsuchen.

Warum es so viele CVEs gibt

Seit Februar 2024 vergibt das Kernel-Projekt als eigene CVE Numbering Authority selbst Kennungen für Sicherheitslücken. Die Entwickler vergeben dabei großzügig CVEs für fast jede behobene Schwachstelle, weil sich bei einem so großen Projekt kaum vorhersagen lässt, welcher Fehler in welcher Umgebung ausnutzbar ist.

Hinzu kommen KI-Werkzeuge, die Code in großem Umfang analysieren und Fehler finden, die Menschen übersehen haben. Viele der gefundenen Probleme liegen nach Kroah-Hartmans Einschätzung in alten oder wenig genutzten Treibern und haben nur geringe Auswirkungen.

Was das für Betreiber bedeutet

Bei fast 2.000 CVEs pro Version ist es unmöglich, jede Meldung einzeln zu bewerten. Die Kernel-Entwickler empfehlen deshalb seit Langem, einfach aktuelle stabile oder Longterm-Kernel einzusetzen, statt einzelne Korrekturen herauszupicken. Die Zahl der CVEs sagt daher wenig darüber aus, ob Linux unsicherer wird, eher darüber, wie gründlich inzwischen gesucht wird.

Ideen

  • KI-Modelle durchsuchen große Codebasen systematisch nach Fehlern.
  • Ein Projekt kann als eigene CNA selbst CVE-Kennungen vergeben.
  • Großzügige CVE-Vergabe vermeidet Fehleinschätzungen der Ausnutzbarkeit.

Einsichten

  • Mehr gemeldete Lücken bedeuten nicht zwingend unsichereren Code, sondern oft gründlichere Suche.
  • Bei hoher Meldungszahl ist regelmäßiges Aktualisieren wirksamer als Einzelbewertung.
  • KI verändert die Sicherheitsforschung vor allem durch Masse und Ausdauer.

Fakten

  • Früher wurden pro Kernel-Release etwa 500 CVEs behoben, inzwischen fast 2.000.
  • Kernel Recipes 2026 fand vom 21. bis 23. September in Paris statt.
  • Das Kernel-Projekt ist seit Februar 2024 eine CVE Numbering Authority.

Referenzen

Bemerkungen

  • Die Zahlen stammen aus einer Folie von Greg Kroah-Hartman, über die Phoronix berichtete.

Empfehlungen

  • Setze auf aktuelle stabile oder Longterm-Kernel und spiele Updates regelmäßig ein.
  • Entferne oder deaktiviere Treiber und Module, die du nicht brauchst, um die Angriffsfläche zu verkleinern.

Originalbeitrag lesen →

Im Webarchiv suchen

SD · 2022

Linux-Kernel-Lücke ermöglicht entfernte Codeausführung

Die Zero Day Initiative meldete Ende 2022 eine Lücke im Linux-Kernel, über die angemeldete Nutzer aus der Ferne Daten auslesen und Code im Kernel ausführen konnten. Der Fehler steckte in ksmbd, dem SMB-Dateiserver, der seit Linux 5.15 direkt im Kernel läuft, bei der Verarbeitung von SMB2_TREE_DISCONNECT. ZDI stufte ihn zunächst mit der Höchstnote 10 ein und korrigierte später auf 9,6.

SD · 2024

USA erwägen Verbot von TP-Link-Routern

Laut einem Bericht des Wall Street Journal von Ende 2024 prüften US-Behörden ein Verbot der Router des chinesischen Herstellers TP-Link aus Gründen der nationalen Sicherheit. Handels-, Verteidigungs- und Justizministerium ermittelten getrennt gegen das Unternehmen, das etwa 65 Prozent des US-Marktes für Router in Haushalten und kleinen Firmen hielt. Microsoft hatte im Oktober berichtet, dass chinesische Angreifer Tausende TP-Link-Router für Angriffe auf westliche Ziele missbrauchten.

SD · 2023

US-Wasserwerke durch Standardpasswort 1111 kompromittiert

Ende 2023 drangen Angreifer, die US-Behörden dem Iran zuordneten, in mindestens elf Einrichtungen in den USA ein, darunter sechs örtliche Wasserversorger, eine Apotheke, ein Schwimmbad und eine Brauerei. Einige der betroffenen Steuerungen von Unitronics hingen offen im Internet und waren mit dem Standardpasswort 1111 geschützt. Anne Neuberger, stellvertretende Sicherheitsberaterin im Weißen Haus, betonte, dass die Behebung solcher Grundfehler kein Geld kostet.