Ubuntu hat mit der Sicherheitsmeldung USN-8631-3 zahlreiche Fehler im Linux-Kernel behoben. Besonders hervorzuheben ist ein Problem in der WLAN-Implementierung, das auf eine fehlerhafte Fehlerbehebung für CVE-2020-24588 zurückgeht und jetzt als CVE-2025-27558 geführt wird. Betroffen ist außerdem der kernel-Build für NVIDIA Tegra IGX (Paket linux-nvidia-tegra-igx). Administrierende sollten die Aktualisierung zügig einspielen, anschließend das System neu starten und nötigenfalls Drittanbieter-Kernelmodule neu kompilieren.

Was wurde behoben?

Die Meldung fasst mehrere Sicherheitslücken zusammen, die den Linux-Kernel betreffen. Neben dem speziellen Kernel-Build für NVIDIA Tegra IGX werden allgemeine Fehler in verschiedenen Kernel-Subsystemen korrigiert. Laut Ubuntu könnten Angreifer einige dieser Schwachstellen ausnutzen, um ein System anzugreifen oder zu kompromittieren.

WLAN in Mesh-Netzen: CVE-2025-27558

Die auffälligste Einzelentdeckung betrifft die Handhabung aggregierter Frames in Mesh-Netzen. Forschende (Siebe Devroe, Héloïse Gollier und Mathy Vanhoef) fanden heraus, dass der Kernel Aggregationen nicht korrekt verarbeitete, weil eine frühere Korrektur für CVE-2020-24588 fehlerhaft war. Durch diese Lücke kann ein Angreifer, der sich physisch in Funkreichweite befindet, Pakete einschleusen. Das Risiko besteht somit insbesondere in Umgebungen mit Mesh-WLAN, in denen sich potenzielle Angreifer in der Nähe befinden können.

Welche Systeme sind betroffen?

Direkt erwähnt wird der Kernel-Build linux-nvidia-tegra-igx, der auf NVIDIA Tegra IGX‑Plattformen läuft. Daneben adressiert das Update zudem mehrere weitere Kernel-Komponenten; Ubuntu spricht allgemein von „verschiedenen Subsystemen“, nennt in der Mitteilung aber keine vollständige Auflistung in der extrahierten Zusammenfassung. Anwender von Ubuntu-Varianten, die den Standardkernel verwenden, sollten deshalb generell von dem Update betroffen sein und es einspielen.

Konkrete Auswirkungen für Administratoren

Wichtig für den Betrieb sind zwei Hinweise aus der Sicherheitsmeldung:

• Nach der Installation der Kernel-Updates ist ein Neustart erforderlich, damit alle Änderungen wirksam werden.
• Die Aktualisierung enthält eine nicht vermeidbare ABI-Änderung im Kernel, weshalb die neue Kernel-Version eine andere Versionsnummer bekommen hat. Das hat zur Folge, dass alle Drittanbieter-Kernelmodule neu kompiliert und neu installiert werden müssen, damit sie mit dem neuen Kernel funktionieren.

Für viele Systeme erfolgt die Aktualisierung automatisch, sofern die Standard‑Kernel‑Metapakete weiterhin installiert sind. Beispiele für solche Metapakete sind linux-generic, linux-generic-lts-RELEASE, linux-virtual oder linux-powerpc. Wer diese Metapakete manuell entfernt hat, muss das Update selber anstoßen.

Warum die ABI-Änderung relevant ist

Eine Kernel-ABI-Änderung bedeutet, dass die interne Schnittstelle für Kernelmodule inkompatibel geworden ist. Binär vorliegende, vorinstallierte oder von Dritten gelieferte Module, die gegen die frühere ABI kompiliert wurden, funktionieren unter dem neuen Kernel nicht mehr zuverlässig. Deshalb ist es erforderlich, solche Module gegen den aktualisierten Kernel neu zu bauen. Das betrifft häufig proprietäre Treiber, Virtualisierungs‑Addons, spezielle Hardwaremodule und manche Out-of-tree‑Module.

Was ist zu tun?

1. Aktualisieren: Führen Sie zeitnah ein reguläres Systemupdate durch. Die Kernel-Pakete wurden durch Ubuntu aktualisiert; die Installation der neuen Pakete beseitigt die bekannten Schwachstellen.
2. Neu starten: Starten Sie das System nach der Aktualisierung neu, damit der neue Kernel aktiv wird.
3. Module prüfen: Falls Sie Drittanbieter-Kernelmodule einsetzen (proprietäre Treiber, Virtualisierungs‑Erweiterungen, spezielle Hardware‑Module), re-kompilieren und installieren Sie diese gegen den neuen Kernel.
4. Metapakete prüfen: Kontrollieren Sie, ob Standard‑Kernel‑Metapakete wie linux-generic installiert sind. Falls Sie diese entfernt hatten, installieren Sie die passenden Kernel-Pakete manuell oder führen Sie das Update gezielt aus.

Ergänzende Hinweise

Ubuntu weist zudem auf seine bezahlten Sicherheitsangebote hin: Mit Ubuntu Pro erhalten Kunden eine zehnjährige Sicherheitsabdeckung für mehr als 25.000 Pakete in den Bereichen Main und Universe. Für bis zu fünf Maschinen ist dieses Angebot kostenfrei verfügbar.

Fazit

Die Sicherheitsmeldung USN-8631-3 behebt mehrere Kernel-Lücken; besonders kritisch ist die Möglichkeit zur Paketinjektion in Mesh‑WLANs (CVE-2025-27558), die durch eine fehlerhafte frühere Korrektur ausgelöst wurde. Systembetreuer sollten das Kernel-Update zeitnah einspielen, danach neu starten und gegebenenfalls alle Drittanbieter‑Kernelmodule gegen den neuen Kernel neu kompilieren. Auf Systemen mit automatisch verwalteten Kernel‑Metapaketen läuft das Update normalerweise ohne weiteren manuellen Eingriff ab.