Fragnesia und ssh-keysign-pwn: Zwei kritische Linux-Kernel-Lücken einfach erklärt
Die neuen Linux Kernel Schwachstellen Fragnesia (CVE‑2026‑46300) und ssh keysign‑pwn (CVE‑2026‑46333) erlauben lokalen Angreifern Privilegieneskalation oder Zugriff auf sensible Dateien wie SSH‑Hostschlüssel und /etc/... Fragnesia nutzt einen Fehler im XFRM‑ESP‑in‑TCP‑Netzwerkpfad, um Kernel‑Page‑Cache‑Manipulatione...
Die neuen Linux Kernel Schwachstellen Fragnesia (CVE‑2026‑46300) und ssh keysign‑pwn (CVE‑2026‑46333) erlauben lokalen Angreifern Privilegieneskalation oder Zugriff auf sensible Dateien wie SSH‑Hostschlüssel und /etc/...
Fragnesia nutzt einen Fehler im XFRM‑ESP‑in‑TCP‑Netzwerkpfad, um Kernel‑Page‑Cache‑Manipulationen durchzuführen und Root‑Rechte zu erlangen.
ssh‑keysign‑pwn betrifft die ptrace‑Zugriffslogik des Kernels und ermöglicht das Auslesen eigentlich geschützter Root‑Daten aus laufenden Prozessen.
Administratorinnen und Administratoren sollten sofort Kernel‑Updates installieren, Systeme neu starten und bei möglicher Kompromittierung SSH‑Schlüssel rotieren.
What are the newly disclosed Linux kernel vulnerabilities Fragnesia (CVE-2026-46300) and ssh-keysign-pwn (CVE-2026-46333), how do they let uTwo newly disclosed Linux kernel vulnerabilities—Fragnesia and ssh‑keysign‑pwn—allow local attackers to escalate privileges or access sensitive secrets.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What are the newly disclosed Linux kernel vulnerabilities Fragnesia (CVE-2026-46300) and ssh-keysign-pwn (CVE-2026-46333), how do they let u. Article summary: Fragnesia (CVE-2026-46300) is a newly disclosed Linux kernel local privilege-escalation flaw that lets an unprivileged local user become root through the kernel’s XFRM ESP-in-TCP networking path, and it has a public proo. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "CVE-2026-46300: Fragnesia Linux Kernel Flaw Grants Root via Page Cache Corruption. The CVE-2026-46300 vulnerability, nicknamed Fragnesia, is a high-severity Linux kernel flaw in th" source context "CVE-2026-46300: Fragnesia Linux Kernel Flaw - SOC Prime" Reference image 2: visual subject "# Fragnesia: New Linux Kernel Flaw Raise
openai.com
Zwei frisch bekannt gewordene Schwachstellen im Linux‑Kernel sorgen derzeit für Aufmerksamkeit in der Sicherheitscommunity: Fragnesia (CVE‑2026‑46300) und ssh‑keysign‑pwn (CVE‑2026‑46333). Beide Fehler lassen sich von lokalen, nicht privilegierten Nutzern ausnutzen – also von Angreifern, die bereits einen Zugang zu einem System haben. Danach können sie entweder Root‑Rechte erlangen oder hoch sensible Systemdaten auslesen.
Für Administratoren bedeutet das: Kernel‑Updates möglichst schnell einspielen und Systeme neu starten.
Fragnesia (CVE‑2026‑46300): Root‑Rechte über den Netzwerk‑Stack
Die Schwachstelle Fragnesia betrifft den Linux‑Kernel‑Subsystempfad XFRM ESP‑in‑TCP, der mit IPsec‑Netzwerkfunktionen zusammenhängt. Durch einen Logikfehler kann ein nicht privilegierter Nutzer den Page Cache des Kernels manipulieren und dadurch letztlich Root‑Zugriff erreichen .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Fragnesia und ssh-keysign-pwn: Zwei kritische Linux-Kernel-Lücken einfach erklärt“?
Die neuen Linux Kernel Schwachstellen Fragnesia (CVE‑2026‑46300) und ssh keysign‑pwn (CVE‑2026‑46333) erlauben lokalen Angreifern Privilegieneskalation oder Zugriff auf sensible Dateien wie SSH‑Hostschlüssel und /etc/...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Die neuen Linux Kernel Schwachstellen Fragnesia (CVE‑2026‑46300) und ssh keysign‑pwn (CVE‑2026‑46333) erlauben lokalen Angreifern Privilegieneskalation oder Zugriff auf sensible Dateien wie SSH‑Hostschlüssel und /etc/... Fragnesia nutzt einen Fehler im XFRM‑ESP‑in‑TCP‑Netzwerkpfad, um Kernel‑Page‑Cache‑Manipulationen durchzuführen und Root‑Rechte zu erlangen.
Was soll ich als nächstes in der Praxis tun?
ssh‑keysign‑pwn betrifft die ptrace‑Zugriffslogik des Kernels und ermöglicht das Auslesen eigentlich geschützter Root‑Daten aus laufenden Prozessen.
Der Fehler gehört zur gleichen Klasse von Problemen wie die zuvor bekannt gewordene Schwachstelle Dirty Frag, betrifft jedoch einen anderen Codepfad. Systeme, die Dirty Frag bereits gepatcht haben, benötigen deshalb trotzdem einen separaten Fix für Fragnesia.
Forscher demonstrierten, dass ein Exploit unter anderem Folgendes ausnutzt:
eine Logikschwäche im ESP/XFRM‑Netzwerkpfad
Manipulation von Page‑Cache‑Seiten, die eigentlich schreibgeschützten Dateien zugeordnet sind
Umwandlung dieser Manipulation in beliebige Speicher‑Schreibzugriffe
Gelingt der Angriff, kann ein lokaler Benutzer vollständige Root‑Privilegien erhalten und das gesamte System kontrollieren . Ein öffentliches Proof‑of‑Concept zeigt bereits funktionierende Angriffe, unter anderem auf Ubuntu‑Systemen .
ssh-keysign-pwn (CVE‑2026‑46333): Zugriff auf Root‑Geheimnisse
Die zweite Schwachstelle trägt den Namen ssh‑keysign‑pwn. Anders als Fragnesia verschafft sie nicht direkt Root‑Rechte, sondern ermöglicht Information Disclosure – also das Auslesen sensibler Daten aus Prozessen oder Dateien, die normalerweise nur Root zugänglich sind .
Der Fehler liegt in der ptrace‑Zugriffskontrolle des Linux‑Kernels, genauer in der Funktion ptrace_may_access(). Dort wird ein Prozess‑Attribut namens „dumpability“ falsch behandelt, wenn Prozesse ohne zugehörige Speicherverwaltungsstruktur geprüft werden .
Dadurch können Sicherheitsprüfungen fehlschlagen, sodass ein nicht privilegierter Prozess Informationen aus einem höher privilegierten Prozess auslesen kann.
In der Praxis lassen sich so beispielsweise folgende Daten stehlen:
SSH‑Host‑Private‑Keys aus /etc/ssh/
Passworthashes aus /etc/shadow
Ein veröffentlichtes Proof‑of‑Concept nutzt dafür das setuid‑root‑Hilfsprogramm ssh-keysign. Dieses öffnet Host‑Key‑Dateien zunächst mit Root‑Rechten und senkt erst danach seine Privilegien. Angreifer hängen sich in genau diesem Moment an den Prozess und lesen den offenen Dateideskriptor oder Speicherinhalt aus .
Der Fehler wurde inzwischen in mehreren stabilen Kernel‑Versionen behoben, darunter 7.0.8, 6.18.31, 6.12.89, 6.6.139, 6.1.173, 5.15.207 und 5.10.256.
Teil einer größeren Welle von Kernel‑Bugs
Fragnesia und ssh‑keysign‑pwn tauchten nicht isoliert auf. Sicherheitsforscher beobachteten innerhalb von etwa zwei Wochen mehrere Kernel‑Schwachstellen, darunter Dirty Frag und verschiedene Copyfail‑Varianten.
Diese Lücken haben mehrere Gemeinsamkeiten:
Sie betreffen zentrale Kernel‑Subsysteme wie Networking oder Prozess‑Tracing.
Sie setzen voraus, dass ein Angreifer bereits lokalen Code ausführen kann.
Sie ermöglichen anschließend Privilegieneskalation oder Zugriff auf sensible Daten.
Das ist besonders gefährlich in Szenarien, in denen ein Angreifer zunächst nur eingeschränkten Zugang erhält – etwa über eine kompromittierte Web‑App, gestohlene Zugangsdaten oder einen Container‑Breakout. Kernel‑Bugs können dann den letzten Schritt zum vollständigen Systemzugriff ermöglichen.
Was Administratoren jetzt tun sollten
Da beide Probleme den Kernel selbst betreffen, reicht ein normales Paketupdate nicht aus. Der aktualisierte Kernel muss aktiv gebootet werden.
Wichtige Sofortmaßnahmen:
Kernel aktualisieren. Die meisten Distributionen haben bereits Patches veröffentlicht.
System neu starten, damit der gepatchte Kernel aktiv wird.
Kernelversion prüfen, z. B. mit uname -r, um sicherzustellen, dass eine korrigierte Version läuft.
Einige Distributionen – etwa AlmaLinux – liefern Updates für beide CVEs bereits über die regulären Paketquellen aus .
Temporäre Schutzmaßnahmen
Wenn ein sofortiges Update nicht möglich ist, können kurzfristige Maßnahmen die Angriffsfläche reduzieren.
Für Fragnesia
Nicht benötigte Netzwerkmodule können deaktiviert oder blockiert werden, etwa:
esp4
esp6
rxrpc
Das reduziert den Angriffspfad, kann jedoch IPsec‑ oder VPN‑Funktionen beeinträchtigen.
Für ssh-keysign-pwn
Eine strengere ptrace‑Konfiguration kann bekannte Exploits blockieren, z. B. durch Erhöhen von:
kernel.yama.ptrace_scope=2 oder 3
Allerdings können dadurch Debug‑Werkzeuge wie strace oder gdb nicht mehr funktionieren. Diese Maßnahme sollte daher nur als temporärer Workaround gelten .
Fazit
Die beiden Schwachstellen zeigen erneut, wie kritisch Post‑Compromise‑Kernel‑Bugs sind. Schon ein eingeschränkter Zugang zu einem Linux‑System kann ausreichen, um anschließend Root‑Kontrolle zu erlangen oder sensible Geheimnisse auszulesen.
Die wichtigsten Schritte für Organisationen sind klar:
Kernel‑Updates installieren, die CVE‑2026‑46300 und CVE‑2026‑46333 beheben
Systeme neu starten
Bei möglicher Kompromittierung SSH‑Hostschlüssel rotieren und sensible Zugangsdaten prüfen
Da bereits öffentliche Proof‑of‑Concept‑Exploits existieren, steigt das Risiko realer Angriffe mit jeder Verzögerung beim Patchen deutlich.
