GhostLock-Exploit-Code für 15 Jahre alten Linux-Root-Bug veröffentlicht

Forscher von Nebula Security haben einen vollständigen technischen Bericht und funktionierenden Exploit-Code für GhostLock (CVE-2026-43499) veröffentlicht, eine Use-after-Free-Sicherheitslücke im Linux-Kernel, die seit 2011 in jeder großen Distribution existiert. Der Exploit erreicht eine Privilege Escalation zu root mit 97 % Stabilität und kann auch für Container Escape genutzt werden – damit ist er einer der zuverlässigsten lokalen Privilege-Escalation-Exploits der letzten Jahre.

Ein 15 Jahre altes Versehen im Locking-Code des Kernels

GhostLock befindet sich in kernel/locking/rtmutex.c, genauer in der Funktion remove_waiter(), die die Prioritätsvererbung von Echtzeit-Mutexen (rtmutex) verwaltet. Der Bug wurde in Linux 2.6.39 mit einem Commit aus dem Jahr 2011 eingeführt und blieb rund 15 Jahre lang ungepatcht – bis April 2026.

Die Schwachstelle beruht auf einer subtilen Fehlbehandlung von Task-Pointern bei Priority-Inheritance-Futex-Operationen. Wenn ein Thread aus einer Warteliste entfernt wird, löscht die Funktion fälschlicherweise das pi_blocked_on-Feld des aufrufenden Tasks anstelle des zu entfernenden korrekten Tasks. Ein unprivilegierter Angreifer kann diese Bedingung allein mit standardmäßigen Thread-Systemaufrufen auslösen und einen baumelnden Kernel-Pointer auf den Stack-Speicher erhalten.

Von dort aus ermöglicht die Angriffskette, einen Pointer auf nahezu jede Kernel-Adresse zu schreiben und eine Funktionstabelle zu kapern, um die vollständige Kontrolle über den Kontrollfluss zu erlangen – letztlich wird eine Root-Shell gestartet. Der Exploit erfordert, dass CONFIG_FUTEX_PI aktiviert ist – dies ist in praktisch allen Linux-Distributionen der Standard.

92.337 $ von Googles kernelCTF als Belohnung

Nebula Security demonstrierte GhostLock zuerst im Rahmen von Googles kernelCTF-Wettbewerb und erhielt dafür eine Belohnung von 92.337 $ für den funktionierenden Exploit. Der am 7. Juli veröffentlichte Part-2-Bericht des Teams enthält eine vollständige Roadmap zur Ausnutzung, einschließlich der Heap-Layout-Techniken, die die 97-prozentige Erfolgsrate über Kernel-Versionen von 2.6.39 bis 7.1-rc1 hinweg erzielen.

Wie zuerst von Nebula Security berichtet, umfasst der angreifbare Bereich die überwältigende Mehrheit der in den letzten 15 Jahren von großen Distributionen ausgelieferten Kernel. Jedes System, das einen Kernel aus diesem Bereich ohne das April-2026-Patch-Set betreibt, kann von einem lokalen Benutzer ausgenutzt werden.

Patch verfügbar – aber viele Systeme bleiben ungeschützt

Die Linux-Kernel-Wartenden haben den Fix im April 2026 über Commits im Stable-Tree ausgeliefert, und die großen Distributionen haben den Patch in ihre aktuellsten LTS-Kernel-Updates aufgenommen. Da der Exploit-Code nun öffentlich ist, sind alle ungepatchten Linux-Systeme, bei denen ein nicht vertrauenswürdiger Benutzer sich lokal anmelden kann, ernsthaft gefährdet.

Container-Umgebungen verdienen besondere Aufmerksamkeit: Ein Container-Ausbruch über GhostLock verschafft einem Angreifer Root-Rechte auf dem darunterliegenden Host und umgeht sämtliche Container-Isolation. Cloud-Anbieter, die gemeinsam genutzte Multi-Tenant-Umgebungen auf ungepatchten Kerneln betreiben, sollten dies als P0-Problem behandeln.

Was jetzt zu tun ist

Systemadministratoren sollten sofort ihre Kernel-Version überprüfen und auf die neueste Distribution-LTS-Version aktualisieren, falls sie dies noch nicht getan haben. Der Fix befindet sich im Stable-Kernel-Tree und wurde auf alle unterstützten LTS-Zweige zurückportiert. Distributionen wie Ubuntu, Debian, Fedora, Red Hat Enterprise Linux und Alpine haben alle aktualisierte Pakete bereitgestellt.

Die Ausführung von uname -r und der Vergleich mit der gepatchten Kernel-Version Ihrer Distribution ist der schnellste Weg, die Gefährdung zu prüfen. Bis ein vollständiges Patchen erfolgt ist, wird empfohlen, den lokalen Benutzerzugriff einzuschränken und in den Audit-Logs nach ungewöhnlichen Privilege-Escalation-Versuchen zu suchen.