Neuer Linux-Kernel-Schwachstelle DirtyDecrypt: Exploit-Code veröffentlicht

Sicherheitslage und Risiko

Auf einem Kubernetes-Worker-Node mit einem Rolling-Release-Kernel führt eine erfolgreiche DirtyDecrypt-Exploitation zu einem vollständigen Container-Escape: Lokale Root-Rechte auf dem Host gewähren Zugriff auf jeden Pod, jeden Container-Runtime-Socket und jedes auf diesem Node gemountete Kubernetes-Secret, wie Moselwal hinzugefügt hat.

Arbeitsstationen unter Fedora oder Arch, die aktive kubectl-Kontexte, AWS-Produktionsprofile und SSH-Schlüssel enthalten, stellen in Unternehmensumgebungen die risikoreichsten Ziele dar.

DirtyDecrypt ist die vierte Linux-Kernel-LPE (Local Privilege Escalation) innerhalb derselben Angriffsfläche XFRM/ESP/rxgk innerhalb ört zur gleichen Schwachstellenklasse wie die aktuell ausgenutzte Copy-Fail-Familie. Die primäre Gegenmaßnahme besteht darin, den Kernel-Update-Patch vom 25.

Sicherheitslage und Risiko

April zu installieren: bash # Fedora sudo dnf upgrade --refresh kernel kernel-core kernel-modules && sudo systemctl reboot # Arch Linux sudo pacman -Syu linux linux-headers && sudo systemctl reboot # openSUSE Tumbleweed sudo zypper dup && sudo systemctl reboot Für Systeme, bei denen eine sofortige Patches nicht möglich ist, bietet das Blacklisting der Kernel-Module rxrpc, esp4 und esp6 eine vorübergehende Lösung – dies führt jedoch zum Ausfall sollten Worker-Knoten-Images mit dem gepatchten Kernel neu erstellen und clusterweit Pod-Sicherheitsstandards (eingeschränktes Profil) durchsetzen, wobei sicherzustellen ist, dass allowPrivilegeEscalation: false als Standard für alle Workloads festgelegt wird.

Linux-Nutzer auf Fedora, Arch und openSUSE Tumbleweed sollten dies als höchste Priorität betrachten, angesichts der Verfügbarkeit von öffentlichem Proof-of-Concept-Code und des bereits etablierten Exploitation-Vorbehalts durch die eng verwandte Copy-Fail-Schwachstelle.