FRITZ!OS - Sicherheitslücke bei eingehenden IPv4-TCP-Verbindungen im Linux-Kernel (CVE-2026-98432): Updates in Vorbereitung

[tango501]

"Aktuell berichten Fachmedien über eine Sicherheitslücke in der Verarbeitung eingehender IPv4-TCP-Verbindungen im Linux-Kernel (CVE-2026-98432), die unter Umständen zu einem Absturz des Systems oder zur Ausführung von Code führen kann. Eine erfolgreiche Ausnutzung der Lücke ist uns derzeit weder im Kontext unserer Produkte noch bei anderen Linux-basierten Systemen bekannt. Vorsorglich bereiten wir Updates für betroffene Geräte vor, die wir nach Fertigstellung wie gewohnt bereitstellen."
Quelle:
"https://fritz.com/pages/aktuelle-sicherheitsthemen"

 

[florianhoffmann]

Kaum ist 8.51 fertig kommt 8.52?

 

[frank.lennert20]

Steile These: 8.51 hat den fix schon.. mal will erst nach Updates für alle Boxen damit rumkommen.

 

[H´Sishi]

Was muß das muß.

Die Frage ist, wo dieser Kernel noch zum Einsatz kommt (Mobiltelefone, TV-Geräte, SetTop-Boxen, ...) und wie die Hersteller der übrigen betroffenen Hardware reagieren.
*edit* U.a. sind Sophos-Firewalls betroffen (--> https://borncity.com/blog/2026/11/09/sophos-firewall-hotfix-fuer-schwachstelle-cve-2026-98432/ ).

 

[MadWorld]

Ich denke auch, dass die 8.51 die Sicherheitslücke schon gefixt bekommen hat. Die Schlagzahl der Release-Versionen ist bei regulären Updates nicht so hoch, aber bei Sicherheitslücken schon.

Zusätzlich: eine öffentliche Bekanntgabe der Sicherheitslücke erfolgt normalerweise erst, wenn sie gelöst ist oder nicht mehr abgestritten werden kann. Ich denke auf Letzteres deutet das Datum hin.

Wird Zeit für die Volumenmodelle 7520. Vielleicht erledigt das dann auch die grassierende Spam-Bombing-Pest mit automatisierten Newsletteranmeldungen im Netz.

 

[H´Sishi]

Da muß ich Dir die Hoffnung nehmen. Solche Newsletter-Anmeldungen erfolgen hardware-unabhängig.

Das Problem steckt in den Anbietern dieser "Newsletter", die kein oder ein nur unzureichendes Bestätigungsverfahren (bspw. mittels nicht-zufälligen bzw. berechenbaren Bestätigungslinks) nutzen.
Außerdem werden solche Mails gerne an Listen massenhaft gekaufter oder gar zufällig erstellter Adressen geschickt. sobald eine solche Mail nicht als "unzustellbar" zurückkommt weiß der Absender, daß die Adresse existiert.

Leider kommen die Spamfilter entweder nicht mehr hinterher - sie sind entweder nicht mehr in der Lage, Spam korrekt zu erkennen oder schlucken die Mails einfach, anstatt sie als "unzustellbar" zurückzuschicken.

 

[tango501]

Ein sehr guter Beitrag zum Thema ist hier zu finden:

Linux Kernel TCP Flaw With 9.8 CVSS Score Affects Ubuntu, Red Hat and Other Distributions

Ubuntu and RHEL lack fixes for a Linux TCP use-after-free that Anthropic says it exploited to run commands as root on MPTCP servers.

thehackernews.com

Was das ganze Thema weiter problematisch macht: "Anthropic described the Linux exploit in an October 27 post about flaws that its AI model, Claude, found and exploited. The Hacker News covered the post on October 28. Claude wrote the exploit after "initial prompting,"
Neben dem existierenden Exploid besteht die Lösung darin, den jeweiligen Kernel auf eine gefixte Version upzudaten: "If you build your own kernel, the fix is in Linux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 and 7.3. The kernel's CVE team recommends updating to the latest stable kernel. It says the kernel community does not support cherry-picking individual fixes."
Was das Ganze jetzt aber problematisch macht, auf einer ganzen Reihe von Produkten mit Fritz!OS kommen noch ältere Kernelversionen zum Einsatz. Einige Produkte mit Fritz!OS 8.25 laufen beispielsweise noch mit Kernel 4.4.271. Diese älteren Kernel Versionen werden nicht mehr gepflegt und mit Sicherheitsupdates versorgt. Wie der Hersteller hier jetzt weiter verfahren wird, da dürfte es in den nächsten Tagen und Wochen noch spannend werden.

 

[Cobold]

Selbst aktuelle Produkte wie die 7690 setzen "nur" auf Kernel 5.4.213... Wird spannend.

 

[Ealvo_54]

Einige Produkte mit Fritz!OS 8.25 laufen beispielsweise noch mit Kernel 4.4.271. Diese älteren Kernel Versionen werden nicht mehr gepflegt und mit Sicherheitsupdates versorgt. Wie der Hersteller hier jetzt weiter verfahren wird, da dürfte es in den nächsten Tagen und Wochen noch spannend werden.

Ganz einfach, Backport.