Ubuntu hat ein Kernel-Sicherheitsupdate (USN-8633-2) freigegeben, das mehrere Schwachstellen im Linux-Kernel behebt. Besonders relevant ist eine fehlerhafte Behandlung aggregierter WLAN-Frames in Mesh-Netzen, die es einem physisch nahe stehenden Angreifer erlauben könnte, Pakete einzuschleusen. Die Updates betreffen verschiedene Kernelvarianten, darunter Cloud- und Hardware-Enablement-Ausgaben.

Welche Probleme wurden behoben?

Das Update adressiert mehrere unterschiedliche Sicherheitslücken im Kernel. Nach Angaben der Meldung betreffen die Korrekturen unter anderem:

• eine fehlerhafte Implementierung des WLAN-Stacks, die aggregierte Frames in Mesh-Netzen nicht korrekt verarbeitet und so Paketinjektion ermöglichen kann (CVE-2025-27558). Dieser Fehler geht auf eine unvollständige Korrektur für CVE-2020-24588 zurück und wurde von Siebe Devroe, Héloïse Gollier und Mathy Vanhoef entdeckt;
• Probleme im NVIDIA Tegra Memory Controller Driver;
• Schwachstellen in Netzwerktreibern von STMicroelectronics;
• Fehler in der Implementierung des B.A.T.M.A.N.-Meshing-Protokolls.

Ubuntu weist darauf hin, dass ein Angreifer diese Schwachstellen unter bestimmten Umständen ausnutzen könnte, um die betroffenen Systeme zu kompromittieren.

Welche Kernelpakete sind betroffen?

Die Sicherheitspatches wurden für mehrere Kernel-Varianten bereitgestellt. Betroffene Paketfamilien, für die Updates ausgeliefert wurden, sind unter anderem:

• linux-aws-hwe (AWS-HWE für Amazon Web Services);
• linux-azure (Kernel für Microsoft Azure);
• linux-gcp (Kernel für Google Cloud Platform);
• linux-hwe (Hardware Enablement-Kernel).

Die vollständigen, konkret betroffenen Paketversionen sind in der offiziellen Ubuntu-Sicherheitsmeldung aufgelistet; Anwender sollten die dort genannten Versionen auf ihren Systemen einspielen.

Wichtiger Hinweis: ABI-Änderung und Drittanbieter-Module

Bei diesem Kernel-Update wurde eine nicht vermeidbare ABI-Änderung vorgenommen, die zu einer neuen Kernel-Versionsnummer führte. Das hat zwei unmittelbare Auswirkungen:

• Fremde Kernelmodule (z. B. proprietäre Treiber, die Sie selbst kompiliert oder von Drittanbietern installiert haben) müssen für den neuen Kernel neu kompiliert und wieder installiert werden.
• Systeme, die auf Standard-Kernelmetapakete setzen, sollten die Aktualisierung automatisch erhalten. Beispiele für solche Metapakete sind linux-generic, linux-generic-lts-RELEASE, linux-virtual und linux-powerpc. Falls diese Metapakete manuell entfernt wurden, ist unter Umständen zusätzlicher Handlungsbedarf erforderlich.

Planen Sie also ausreichend Zeit ein, wenn Rechner mit Drittanbieter-Treibern betrieben werden. Sonstige proprietäre Module — zum Beispiel aus der Grafik- oder Storage-Welt — müssen gegebenenfalls vom Lieferanten oder durch eigene Kompilationsschritte für den neuen Kernel neu gebaut werden.

Was sollten Anwender jetzt tun?

1. Prüfen Sie verfügbare Paketupdates mit Ihrem normalen Paketmanager (apt, unattended-upgrades etc.) und spielen Sie die Kernel-Updates ein, die Ubuntu für Ihre Kernel-Variante bereitstellt.
2. Starten Sie das System nach der Aktualisierung neu, denn ein Neustart ist erforderlich, damit die neuen Kernel-Binärdateien aktiv werden.
3. Rekompilieren und installieren Sie danach alle Drittanbieter-Kernelmodule, die auf der Maschine genutzt werden, damit sie mit der neuen Kernel-ABI kompatibel sind.
4. Wenn Sie Kernel-Metapakete zuvor entfernt haben, stellen Sie sicher, dass Ihr System weiterhin automatisch neue Kernel erhält oder installieren Sie die jeweils empfohlenen Pakete manuell.

Wie groß ist das Risiko?

Das Risiko hängt von mehreren Faktoren ab: welche Kernel-Variante Sie nutzen, ob das System drahtlose Mesh-Funktionalität betreibt und ob Drittanbieter-Module verwendet werden. Besonders kritisch ist die beschriebene WLAN-Schwachstelle in Mesh-Topologien, weil sie einen Angreifer mit physischer Nähe zum Opfernetzwerk befähigen könnte, Pakete einzuschleusen. Netzwerke, die Mesh-Funktionalität bereitstellen oder in öffentlich zugänglichen Bereichen betrieben werden, sollten das Update prioritär einspielen.

Reduzieren Sie Ihre Angriffsfläche

Ubuntu weist zusätzlich auf das Angebot von Ubuntu Pro hin: Diese Option bietet erweiterten Security-Support, mit einer zehnjährigen Absicherung für viele Pakete aus Main und Universe. Für Privatnutzende ist Ubuntu Pro für bis zu fünf Maschinen kostenlos verfügbar; für größere Umgebungen empfiehlt sich eine Prüfung der erweiterten Abdeckung.

Weitere Hinweise

Die Sicherheitsmeldung enthält die genauen Paketversionen und zusätzliche technische Details. Bei Unklarheiten oder besonderen Konfigurationen (beispielsweise bei Betreibern von Cloud-Instanzen oder Appliances mit proprietären Treibern) ist es ratsam, die entsprechenden Hinweise in der offiziellen Meldung zu lesen oder den Support von Ubuntu bzw. des jeweiligen Cloud-Anbieters zu konsultieren.

Entdecker dieser Schwachstelle sind Siebe Devroe, Héloïse Gollier und Mathy Vanhoef, denen Ubuntu in der Meldung genannt wird.

Kurz zusammengefasst: System aktualisieren, neu starten, Drittanbieter-Module neu bauen — so schließen Sie die Sicherheitslücken und stellen den regulären Betrieb wieder her.