FRITZ!OS - Sicherheitslücke bei eingehenden IPv4-TCP-Verbindungen im Linux-Kernel (CVE-2026-98432): Updates in Vorbereitung

[tango501]

"Aktuell berichten Fachmedien über eine Sicherheitslücke in der Verarbeitung eingehender IPv4-TCP-Verbindungen im Linux-Kernel (CVE-2026-98432), die unter Umständen zu einem Absturz des Systems oder zur Ausführung von Code führen kann. Eine erfolgreiche Ausnutzung der Lücke ist uns derzeit weder im Kontext unserer Produkte noch bei anderen Linux-basierten Systemen bekannt. Vorsorglich bereiten wir Updates für betroffene Geräte vor, die wir nach Fertigstellung wie gewohnt bereitstellen."
Quelle:
"https://fritz.com/pages/aktuelle-sicherheitsthemen"

 

[florianhoffmann]

Kaum ist 8.51 fertig kommt 8.52?

 

[frank.lennert20]

Steile These: 8.51 hat den fix schon.. mal will erst nach Updates für alle Boxen damit rumkommen.

 

[H´Sishi]

Was muß das muß.

Die Frage ist, wo dieser Kernel noch zum Einsatz kommt (Mobiltelefone, TV-Geräte, SetTop-Boxen, ...) und wie die Hersteller der übrigen betroffenen Hardware reagieren.
*edit* U.a. sind Sophos-Firewalls betroffen (--> https://borncity.com/blog/2026/11/09/sophos-firewall-hotfix-fuer-schwachstelle-cve-2026-98432/ ).

 

[MadWorld]

Ich denke auch, dass die 8.51 die Sicherheitslücke schon gefixt bekommen hat. Die Schlagzahl der Release-Versionen ist bei regulären Updates nicht so hoch, aber bei Sicherheitslücken schon.

Zusätzlich: eine öffentliche Bekanntgabe der Sicherheitslücke erfolgt normalerweise erst, wenn sie gelöst ist oder nicht mehr abgestritten werden kann. Ich denke auf Letzteres deutet das Datum hin.

Wird Zeit für die Volumenmodelle 7520. Vielleicht erledigt das dann auch die grassierende Spam-Bombing-Pest mit automatisierten Newsletteranmeldungen im Netz.

 

[H´Sishi]

Da muß ich Dir die Hoffnung nehmen. Solche Newsletter-Anmeldungen erfolgen hardware-unabhängig.

Das Problem steckt in den Anbietern dieser "Newsletter", die kein oder ein nur unzureichendes Bestätigungsverfahren (bspw. mittels nicht-zufälligen bzw. berechenbaren Bestätigungslinks) nutzen.
Außerdem werden solche Mails gerne an Listen massenhaft gekaufter oder gar zufällig erstellter Adressen geschickt. sobald eine solche Mail nicht als "unzustellbar" zurückkommt weiß der Absender, daß die Adresse existiert.

Leider kommen die Spamfilter entweder nicht mehr hinterher - sie sind entweder nicht mehr in der Lage, Spam korrekt zu erkennen oder schlucken die Mails einfach, anstatt sie als "unzustellbar" zurückzuschicken.

 

[tango501]

Ein sehr guter Beitrag zum Thema ist hier zu finden:

Linux Kernel TCP Flaw With 9.8 CVSS Score Affects Ubuntu, Red Hat and Other Distributions

Ubuntu and RHEL lack fixes for a Linux TCP use-after-free that Anthropic says it exploited to run commands as root on MPTCP servers.

thehackernews.com

Was das ganze Thema weiter problematisch macht: "Anthropic described the Linux exploit in an October 27 post about flaws that its AI model, Claude, found and exploited. The Hacker News covered the post on October 28. Claude wrote the exploit after "initial prompting,"
Neben dem existierenden Exploid besteht die Lösung darin, den jeweiligen Kernel auf eine gefixte Version upzudaten: "If you build your own kernel, the fix is in Linux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 and 7.3. The kernel's CVE team recommends updating to the latest stable kernel. It says the kernel community does not support cherry-picking individual fixes."
Was das Ganze jetzt aber problematisch macht, auf einer ganzen Reihe von Produkten mit Fritz!OS kommen noch ältere Kernelversionen zum Einsatz. Einige Produkte mit Fritz!OS 8.25 laufen beispielsweise noch mit Kernel 4.4.271. Diese älteren Kernel Versionen werden nicht mehr gepflegt und mit Sicherheitsupdates versorgt. Wie der Hersteller hier jetzt weiter verfahren wird, da dürfte es in den nächsten Tagen und Wochen noch spannend werden.

 

[Cobold]

Selbst aktuelle Produkte wie die 7690 setzen "nur" auf Kernel 5.4.213... Wird spannend.

 

[Ealvo_54]

Einige Produkte mit Fritz!OS 8.25 laufen beispielsweise noch mit Kernel 4.4.271. Diese älteren Kernel Versionen werden nicht mehr gepflegt und mit Sicherheitsupdates versorgt. Wie der Hersteller hier jetzt weiter verfahren wird, da dürfte es in den nächsten Tagen und Wochen noch spannend werden.

Ganz einfach, Backport.

 

[ip-phoneforum72]

theoretisch müssten dann auch solche alten Systeme wie 3490etc den Patch bekommen.

Selbst Apple Patches tlw. End of Service Geräte. AVM ist soweit bei unbedarften Endkunden vertreten, dass die eine besondere Verantwortung haben.

Die zahlreichen China Gadges mal ganz abgesehen.
An auch braucht jedes Linux Gerät ein Update.

Die v8.51 hat übrigens noch keine Anpassung!

 

[Cobold]

Die zahlreichen China Gadges mal ganz abgesehen.

Und genau DIE werden das Hauptproblem sein. Fritz, Apple, Samsung, Amazon und wie sie alle heißen werden patchen, und sei es als backport. Aber die millionen China-Gadgets und Boxen bleiben vermutlich offen wie Scheunentore für künftige Botnetze!

 

[tango501]

und sei es als backport

Dann würde man "cherry-picking" betreiben. Das sollte zwar grundsätzlich funktionieren, es kann aber gerade bei älteren und mittlerweile nicht mehr supporteten Kerneln zu Konflikten kommen. Spannend wird die Lösung auf jeden Fall und vor allem auch die Zahl der Modelle, welche den Patch erhalten werden. Die Messlatte bildet hier der Port443 Patch aus 09/2023. Eine Anleitung für "Backporting and conflict resolution" ist ja zumindest vorhanden.

Backporting and conflict resolution — The Linux Kernel documentation

docs.kernel.org

 

[on-line]

Wenn das der Fall wird, dann wird interessant wie FRITZ! sich verhält. Entweder wie "früher", wo alles gepatcht wird was das Problem hatte, oder wie ich eher vermute, nach ihrer "neuen" Status der Produktunterstützung Liste.

 

[Grisu_]

Kann wohl auch nicht sein, da die 7490 heute erst wieder eine Inhaus bekommen hat, wo die doch schon seit über einem Jahr raus ist aus dem Support.

 

[tango501]

oder wie ich eher vermute, nach ihrer "neuen" Status der Produktunterstützung Liste.

Diese Befürchtung habe ich offen gestanden auch, nachdem in der vergangenen Woche "plötzlich und unerwartet" dort eine deutliche Anpassung mit Datumsangaben erfolgt ist.

Status der Produktunterstützung | Service & Support

Entdecke FRITZ! - Informiere dich über die vielseitigen und benutzerfreundlichen Lösungen für deinen Internetanschluss und deine Heimvernetzung.

fritz.com

Im Moment bleibt da nur "Hoping for the best, expecting the worst".