Das beliebte Open-Source-Monitoring-Tool PatchMon hat mit der Veröffentlichung der Version v2.1.4 ein wichtiges Wartungs-Update erhalten. Während die vorangegangenen Releases v2.1.0 bis v2.1.3 erhebliche Performance-Sprünge (wie die Reduzierung des Agent-Traffics um 99 %) mit sich brachten, adressiert v2.1.4 gezielt Rückmeldungen aus der Community und repariert Detailfehler im Alltagsbetrieb.

Die wichtigsten Änderungen in PatchMon v2.1.4

1. Verbesserte OIDC- & Single Sign-On (SSO) Stabilität

Beim Login via OIDC (z. B. ADFS, Entra ID, Keycloak) kam es bei bestimmten UserInfo-Konstellationen zu Fehlern, wenn das Email-Feld leer oder in einem abweichenden Array-Format geliefert wurde. PatchMon v2.1.4 wertet nun auch untergeordnete ID-Tokens korrekt aus, sodass SSO-Sitzungen nicht mehr unbeabsichtigt abbrechen.

2. Funktionierende Webhooks für Mattermost & Rocket.Chat

Webhooks an Plattformen wie Mattermost oder Rocket.Chat schlugen zuvor vereinzelt mit einem HTTP-400-Fehler fehl. Der Server erkennt Ziel-URLs mit /hooks/ nun automatisch und formatiert den JSON-Payload in das von den jeweiligen Diensten erwartete Format.

3. Compliance-Inhalte für Proxmox LXC & Bare-Metal

Infrastrukturen, die nicht im offiziellen Docker-Container laufen – insbesondere Proxmox-LXC-Container –, konnten Compliance-Datastreams teilweise nicht laden und gaben einen 503-Fehler zurück. Der Fehler lag an der Erkennung der lokalen Datastream-Dateien und wurde in v2.1.4 vollständig korrigiert.

4. Bessere Handhabung von Notebooks nach dem Standby

Geräte, die in den Energiesparmodus oder Ruhezustand (Suspend) gingen, zeigten im Dashboard nach dem Aufwachen oft tagelang den Status „Stale“ an. Der PatchMon-Server fordert nun bei der Wiederverbindung abgelaufener Intervall-Zeitfenster sofort einen neuen Bericht an, wodurch der Status zeitnah aktualisiert wird.

Upgrade-Anleitung

Für Docker-basierte Instanzen reicht der Standard-Workflow über Docker Compose:

docker compose pull
docker compose up -d

Tipp für Admins: Nach dem Upgrade des PatchMon-Servers empfiehlt es sich, auch die installierten Agenten auf den Zielhosts zu aktualisieren, um von allen Stabilitätskorrekturen vollständig zu profitieren.

Der Beitrag PatchMon v2.1.4: Fixes für SSO, Mattermost Webhooks & LXC erschien zuerst auf Ivan Ivanov.

Für Administratoren von MikroTik-Netzwerkhardware herrscht höchste Alarmstufe. Wie das polnische CSIRT (CERT Polska) berichtet, nutzen Angreifer seit Anfang September 2026 eine Kette von neu entdeckten Sicherheitslücken aktiv aus, um MikroTik-Router im großen Stil zu kapern. Unter der Bezeichnung MikroTrick kombinieren Kriminelle mehrere Schwachstellen in der RouterOS-Firmware, um unauthentifiziert die vollständige administrative Kontrolle über betroffene Systeme zu erlangen.

Nach Einschätzung von IT-Sicherheitsdiensten sind weltweit über 100.000 über das Internet erreichbare Router potenziell von der Welle bedroht.

Funktionsweise der „MikroTrick“-Attacke

Das Forscherteam von CERT Polska hat insgesamt sechs Schwachstellen in der Zertifikats- und Diensteverarbeitung von RouterOS identifiziert. Der gefährlichste Angriffsvektor kombiniert zwei spezifische Fehler im SSH-Server und -Client von RouterOS:

1. Authentication Bypass: Eine Lücke erlaubt es Angreifern, die reguläre Anmeldung am SSH-Dienst zu umgehen.

2. Privilege Escalation: Eine verknüpfte zweite Schwachstelle verschafft dem Angreifer umgehend uneingeschränkte Administratorrechte (CVSS-Score: 9.2).

Nicht nur SSH-Dienste sind anfällig

Obwohl die aktiven Angriffe primär über exponierte SSH-Ports ablaufen, beschränkt sich das Risiko keineswegs nur auf die Konsole. Das Lücken-Set betrifft auch weitere Systemkomponenten von RouterOS:

• Das Web-Management WebFig

• Den internen Bandbreitentest-Dienst

• Die Verarbeitung von X.509-TLS-Zertifikaten

Selbst wenn SSH extern geschlossen ist, sollten RouterOS-Instanzen daher dringend aktualisiert werden, da auch ausgehende TLS-Verbindungen oder interne Verwaltungsdienste ausnutzbar sind.

Welche Versionen sichern das System ab?

MikroTik hat umgehend reagiert und geflickte Releases für die jeweiligen Update-Kanäle veröffentlicht. Betreiber sollten ihre Geräte unverzüglich auf folgende oder neuere Firmware-Stände heben:

• v7 Stable Branch: Aktualisierung auf 7.16 (oder höher)

• v7 Long-Term Branch: Aktualisierung auf 7.15.3 (beachte: falls Version 7.23.4 / 7.23.5 im Einsatz ist, ebenfalls aktualisieren)

• v6 Long-Term / Legacy: Aktualisierung auf 6.49.15

• Development / Testing: Aktualisierung auf 7.25beta3

Empfohlener Incident-Response-Plan für Admins

1. Sofortiges Firmware-Update

Spielt die gepatchte RouterOS-Version über den Mikrotik-Update-Mechanismus, WinBox oder WebFig ein.

2. Verwaltungszugänge vom WAN trennen

Verwaltungsdienste wie SSH, WinBox und WebFig gehören grundsätzlich niemals ungeschützt an das öffentliche Internet.

• Schränkt den Zugriff über IP-Firewall-Regeln strikt auf interne Management-VLANs ein.

• Nutzt für den Fernzugriff ausschließlich verschlüsselte VPN-Tunnel (z. B. WireGuard).

3. Prüfen auf Kompromittierung (IoCs)

Da Angreifer Hintertüren im System verankern können, reicht ein reines Update bei bereits infizierten Geräten oft nicht aus.

• Kontrolliert die Scheduler-Tasks, Scripts und angelegten Admin-Nutzer auf unautorisierte Einträge.

• Bei konkretem Verdacht: Trennt das Gerät vom Netz, sichert Logs und Konfigurationen, führt einen vollständigen Netinstall / Factory Reset durch und spielt eine saubere Konfiguration neu ein.

Fazit

„MikroTrick“ zeigt erneut, wie verheerend die Kombination aus schwachen Schnittstellen-Konfigurationen und ungepatchter Edge-Hardware ist. Wer MikroTik-Geräte im Einsatz hat, muss jetzt handeln, um seine Netzwerkgrenzen wirksam abzusichern.

Quelle & Weiterführende Berichterstattung: https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/

Der Beitrag MikroTrick: Kritische RouterOS-Lücken werden aktiv ausgenutzt erschien zuerst auf Ivan Ivanov.

Direkt im Anschluss an das große v2.1.0-Release hat das Entwicklerteam von PatchMon mit den Versionen v2.1.1, v2.1.2 und v2.1.3 drei schnelle Bugfix-Updates veröffentlicht. Während das Hauptrelease v2.1.0 massive Architektur- und Performance-Änderungen mit sich brachte, kümmern sich die Point-Releases um die Beseitigung von Unschärfen bei Single Sign-On (SSO), Benachrichtigungen und der Compliance-Infrastruktur.

Die beste Nachricht für Betreiber: Bei allen drei Versionen handelt es sich um reine In-Place-Updates. Es sind keine Änderungen an der docker-compose.yml und keine manuellen Updates der Agents erforderlich.

Die zentralen Verbesserungen in den Updates

1. SSO-Stabilisierung für ADFS und Microsoft Entra ID

Beim OIDC-basierten Single Sign-On kam es bei spezifischen Anbietern zu Login-Abbrüchen:

• Microsoft ADFS: ADFS übermittelt Einzelwerte in Claims (wie E-Mails) häufig als JSON-Array. PatchMon akzeptierte bisher nur Strings und brach den Login ab. Dies wurde korrigiert.
• Microsoft Entra ID (Azure AD): Da Entra ID standardmäßig keinen email_verified-Claim mitsendet, schlug die Auto-Erstellung von Accounts fehl. PatchMon wertet nun das Microsoft-Signal xms_edov (Email Domain Owner Verified) aus, was das Setup ohne Sicherheitskompromisse ermöglicht.

2. Webhooks für Mattermost & Rocket.Chat

Webhooks an Plattformen wie Mattermost oder Rocket.Chat quittierte der Server bisher mit einem HTTP 400 Error. PatchMon erkennt diese Endpunkte ab v2.1.3 automatisch anhand des /hooks/-Pfads in der URL und passt das Payload-Format an. Generische Webhooks wurden zudem um ein Top-Level-text-Feld ergänzt, um out-of-the-box mit Slack-kompatiblen Ingest-Servern zu harmonieren.

3. Compliance-Fixes für Proxmox LXC

Bei Instanzen außerhalb des offiziellen Docker-Containers (insbesondere bei der Nutzung des populären Proxmox LXC-Installationsskripts) meldete die Plattform fälschlicherweise leere Verzeichnisse für Compliance-Regelwerke und antwortete mit einem HTTP 503. Ab v2.1.3 werden die Versionsdaten direkt aus den Datastreams gelesen, sodass die Auswertung auf LXC-Containern wieder reibungslos funktioniert.

4. Beseitigung des „Stale“-Status bei Laptops

Clients, die in den Energiesparmodus versetzt wurden (z. B. Notebooks im Feierabend), wurden vom Server nach dem Aufwachen tagelang als inaktiv/veraltet („stale“) geführt. Der Server prüft nun beim Reconnect des Agents, ob das Update-Intervall überschritten wurde, und fordert im Bedarfsfall sofort einen frischen Statusbericht an.

5. Wiederherstellung der Supply-Chain-Attestierung

Aufgrund eines Fehlers im Build-Prozess wurden die Releases v2.1.0, v2.1.1 und v2.1.2 ohne SHA256-Prüfsummen, SBOMs (Software Bill of Materials) und Provenance-Attestierungen ausgeliefert. Mit Version v2.1.3 sind sämtliche Signatur- und Lieferketten-Sicherheitsdateien wieder regulär in den GitHub-Downloads enthalten.

Fazit & Update-Empfehlung

Die Point-Releases v2.1.1 bis v2.1.3 unterstreichen das hohe Tempo, mit dem das PatchMon-Projekt Kinderkrankheiten nach großen Versionssprüngen behebt. Allen Betreibern von v2.1.0 wird ein zügiges Update auf v2.1.3 empfohlen, um von den SSO- und Alerting-Fixes zu profitieren.

Offizielle Release-Übersicht: GitHub PatchMon Releases

Der Beitrag PatchMon v2.1.1 – v2.1.3: Fixes für SSO, Webhooks & Compliance erschien zuerst auf Ivan Ivanov.

Das Sicherheitsteam von Qualys hat eine weitere gravierende Schwachstelle in einer zentralen Komponente gängiger Linux-Distributionen analysiert. Unter der Kennung CVE-2026-8933 führt ein Logikfehler in snap-confine dem Unterbau des Paketmanagers Snap zu einer lokalen Rechteausweitung (Local Privilege Escalation, LPE). Da Snap auf modernen Ubuntu-Systemen standardmäßig installiert ist, ist das Schadpotenzial für Multi-User-Systeme und Cloud-Instanzen hoch.

Wie die Schwachstelle in snap-confine funktioniert

snap-confine ist eine hochprivilegierte SUID-Binärdatei (root), die beim Start eines Snap-Pakets aufgerufen wird. Seine Aufgabe ist es, eine isolierte Sicherheits-Sandbox (unter Nutzung von AppArmor, Cgroups und Mount-Namespaces) aufzubauen.

Die Forschenden von Qualys entdeckten eine Schwachstelle bei der Abfolge, in der snap-confine Dateisystem-Pfade prüft und Mounts innerhalb des temporären Namespaces durchführt. Durch gezieltes Timing und das Platzieren präparierter symbolischer Links (Symlinks) im Benutzerverzeichnis kann ein lokaler Angreifer die Sicherheitsprüfungen umgehen. Dies ermöglicht das Einschleusen und Ausführen von eigenem Code im Kontext des Root-Benutzers.

Wer ist von CVE-2026-8933 betroffen?

• Ubuntu Desktop & Server: Alle unterstützten Releases, bei denen das Paket snapd nicht auf dem neuesten Stand ist.

• Derivate: Linux-Distributionen, die snapd aus den offiziellen Repositories verwenden und SUID-Rechte für snap-confine vergeben.

Empfohlene Maßnahmen für Administratoren

1. Schnelles Update über den Paketmanager

Canonical hat das Problem analysiert und korrigierte Pakete für alle unterstützen Ubuntu-Versionen veröffentlicht. Das Update kann direkt über apt eingespielt werden:

sudo apt update
sudo apt install --only-upgrade snapd

Anschließend lässt sich die installierte Version überprüfen, um sicherzustellen, dass die geflickte Variante von snapd aktiv ist.

2. Überwachung lokaler Benutzeraktivitäten

Da es sich um eine LPE-Lücke handelt, ist ein bereits vorhandener lokaler Systemzugriff Voraussetzung. Administratoren sollten Logfiles (wie /var/log/auth.log oder Auditd-Protokolle) auf ungewöhnliche Aufrufe von snap-confine oder verdächtige Manipulationen im Verzeichnis /tmp prüfen.

Bedeutung für die Praxis

Schwachstellen in SUID-Helferprogrammen wie snap-confine zeigen erneut, wie komplex das Zusammenspiel von Sandbox-Infrastrukturen und Linux-Berechtigungen ist. Für IT-Abteilungen unterstreicht der Vorfall die Notwendigkeit von automatisierten Patch-Management-Prozessen auf allen Ebenen der Server-Infrastruktur.

Quelle: Qualys Threat Research Blog – CVE-2026-8933

Der Beitrag CVE-2026-8933: Root-Lücke in Ubuntu durch snap-confine erschien zuerst auf Ivan Ivanov.

Der Open-Source-Cloud-Spezialist Nextcloud steht nach einem Sicherheitsvorfall in der Kritik. Obwohl der eigentliche Cyberangriff auf die Infrastruktur des Unternehmens glimpflich ausging und nach aktuellem Kenntnisstand weder Kundendaten noch der Kern-Quellcode der Software manipuliert wurden, sorgt das Krisenmanagement des Anbieters für erhebliche Unruhe in der IT-Community.

Zugriff auf private Entwickler-Infrastruktur

Der Angreifer nutzte kompromittierte Zugangsdaten, um Zugriff auf ein privates, internes Entwicklungs-Repository von Nextcloud zu erlangen. Das Unternehmen leitete nach dem Bemerken des unbefugten Zugriffs umgehend technische Gegenmaßnahmen ein: Die betroffenen Zugänge wurden gesperrt, Passwörter zurückgesetzt und die Server-Infrastruktur eingehend forensisch untersucht.

Die wichtigste technische Entwarnung für Administratoren und Betreiber von Nextcloud-Instanzen:

• Der öffentliche Quellcode von Nextcloud blieb unberührt.

• Es wurden keine Backdoors oder schädliche Modifikationen in bestehende Releases eingeschleust.

• Ein Zugriff auf Daten von Endnutzern oder Cloud-Kunden fand nicht statt.

Das PR-Desaster nach dem Angriff

Während das technische Sicherheitsteam adäquat reagierte, leistete sich die PR-Abteilung von Nextcloud schwere Schnitzer. Auf erste Anfragen von IT-Sicherheitsforschern und Fachmedien wie heise online reagierte das Unternehmen ausweichend und spielte das Ausmaß des Zugriffs herunter. In ersten Stellungnahmen war die Rede von bloßen „Auffälligkeiten“ oder internen Tests.

Erst als unwiderlegbare Belege über den erfolgten Datenabfluss aus dem privaten Repository vorlagen, korrigierte Nextcloud seine Berichterstattung schrittweise und räumte den Vorfall transparent ein.

Fazit: Transparenz als Pflicht in der Open-Source-Welt

Der Vorfall unterstreicht eine zentrale Lektion des modernen IT-Sicherheitsmanagements: Ein funktionierender Incident-Response-Plan muss zwingend eine ehrliche und direkte Krisenkommunikation beinhalten. Insbesondere im Open-Source-Sektor, wo das Vertrauen der Anwender und Administratoren das Fundament des gesamten Ökosystems bildet, führt Taktieren bei Sicherheitsvorfällen zu unnötigem Reputationsschaden.

Quelle: https://help.nextcloud.com/t/nextcloud-com-offline/247123/18

Der Beitrag Cyberangriff auf Nextcloud: Technische Details & PR-Kritik erschien zuerst auf Ivan Ivanov.

Sicherheitsvorfälle bei WordPress betreffen meist unzureichend gepflegte Plugins oder Themes. Das aktuell bekannt gewordene Sicherheitsrisiko wp2shell wiegt jedoch um ein Vielfaches schwerer: Die Schwachstelle befindet sich direkt im WordPress-Core und ermöglicht es unauthentifizierten Angreifern, aus der Ferne Schadcode auf dem zugrundeliegenden Webserver auszuführen (Unauthenticated Remote Code Execution).

Was ist wp2shell?

Unter dem Namen wp2shell werden zwei verkettete Sicherheitslücken in der WordPress REST-API zusammengefasst. Konkret betrifft das Problem die Verarbeitung von Batch-Anfragen über den Endpoint /wp-json/batch/v1.

Da der REST-API-Endpunkt standardmäßig für jeden Internetnutzer erreichbar ist, benötigen Angreifer keinerlei Zugangsdaten oder Benutzerrechte auf der Ziel-Website. Über gezielt präparierte HTTP-Requests lässt sich die Eingabevalidierung umgehen und PHP-Code auf dem Server ausführen.

Welche Versionen sind betroffen?

Die Schwachstelle zieht sich durch alle aktuellen Hauptzweige der letzten Monate:

• WordPress 6.8: Betroffen sind die Versionen 6.8.0 bis 6.8.5 (Sicher ab 6.8.6).

• WordPress 6.9: Betroffen sind die Versionen 6.9.0 bis 6.9.4 (Sicher ab 6.9.5).

• WordPress 7.0: Betroffen sind die Versionen 7.0.0 bis 7.0.1 (Sicher ab 7.0.2).

Achtung: Auch wenn das WordPress-Core-Team automatische Notfall-Updates (Auto-Updates) für betroffene Seiten angestoßen hat, schlagen diese auf vielen Servern aufgrund individueller Rechtevergaben, deaktivierter Cronjobs oder benutzerdefinierter Konfigurationen fehl. Eine manuelle Kontrolle ist zwingend erforderlich!

Handlungsanleitung für Website-Betreiber

1. Version kontrollieren & Manuell aktualisieren

Meldet euch im Backend eurer WordPress-Installation an und navigiert zu Dashboard → Aktualisierungen. Steht ein Core-Update auf Version 7.0.2 (oder die entsprechenden Wartungsreleases 6.9.5 / 6.8.6) bereit, führt dieses unverzüglich aus.

Prüfung auch über https://wp2shell.com/ möglich.

2. Notfall-Mitigation über die WAF (Falls kein Update möglich ist)

Sollte ein unmittelbares Update aus Kompatibilitätsgründen nicht möglich sein, muss der anfällige REST-API-Endpunkt auf Server- oder Firewall-Ebene (z. B. via Cloudflare oder Nginx/Apache-Regel) blockiert werden:

• Blockieren aller Anfragen an /wp-json/batch/v1.

3. Indikatoren für eine Kompromittierung (IoCs) prüfen

Falls eure Seite auf einer ungepatchten Version lief, solltet ihr folgende Punkte kontrollieren:

• Unbekannte Administratoren in der Benutzerliste.

• Neuer, unautorisierter PHP-Code im Verzeichnis /wp-content/uploads/ oder in der index.php.

• Unerwartete Modifikationen in der .htaccess-Datei.

Der Beitrag wp2shell: Kritische WordPress-Lücke erfordert sofortiges Update erschien zuerst auf Ivan Ivanov.

Das Entwicklerteam von Offensive Security hat das zweite vierteljährliche Major-Update des Jahres freigegeben: Kali Linux 2026.2. Während die Distribution optisch mit den neuesten Desktop-Umgebungen glänzt, bringt dieses Release fundamentale Optimierungen bei der Performance virtueller Maschinen sowie wichtige strukturelle Anpassungen im Paketmanagement mit sich.

Die VM-Diät: Bis zu 3x schnellere Bootzeiten

Für Penetration Tester und Security-Analysten, die Kali Linux im Rahmen von automatisierten CI/CD-Pipelines oder in lokalen Virtualisierungsumgebungen (QEMU, VirtualBox, VMware) betreiben, bringt Version 2026.2 eine massive Erleichterung.

Das Team hat analysiert, dass die standardmäßig mitgelieferte Grafik-Firmware in virtuellen Umgebungen fast nie benötigt wird. Daher wurde die Grafik-Firmware aus den vorkonfigurierten VM-Images komplett entfernt. Zudem erkennt das Installationsmedium nun automatisch, ob eine Installation innerhalb einer VM stattfindet, und spart sich die Treiberpakete. Die RAM-Disk (initrd) schrumpft dadurch auf gerade einmal 60 MB, was die Bootzeit im Test um das Dreifache verkürzte. Bare-Metal-Installationen bleiben davon unberührt und behalten den vollen Treibersupport.

Neue Tools und das Comeback eines Klassikers

Das offizielle Netzwerk-Repository wächst um neun mächtige Werkzeuge, die aktuelle Angriffstrends und administrative Anforderungen abbilden:

• shell-gpt: Ein KI-gestütztes Produktivitätswerkzeug, das Beschreibungen in natürlicher Sprache direkt im Terminal in ausführbare Befehle übersetzt.

• legba: Ein moderner, extrem schneller Multiprotokoll-Enumerator für Password-Spraying- und Brute-Force-Angriffe.

• hydra-gtk: Die GTK+-basierte grafische Oberfläche für den legendären Network-Logon-Cracker Hydra ist zurück.

• oletools: Spezialisierte Skripte zur tieferen Analyse von Microsoft OLE2-Dateien und bösartigen Office-Makros.

• tookie-osint: Ein hocheffizientes OSINT-Werkzeug zur gezielten Social-Media-Recherche.

• Weitere Zugänge: arsenal-ng (Cheat-Sheet-Bibliothek), penelope (Shell-Handler), tailscale (sichere VPN-Konnektivität) und uro (URL-Bereinigung für Web-Crawler).

Infrastruktur-Anpassungen: Helper-Scripts und APT-Formate

Um die Bedienung im Alltag konsistenter zu gestalten, wurden die Services-Helper-Scripts komplett überarbeitet. Startet ein Admin nun einen Hintergrunddienst, verhindern die Skripte nicht nur doppelte Instanzen, sondern listen übersichtlich die Standard-Zugangsdaten (Credentials) auf und werfen die exakte Zugangs-URL aus.

Zudem bereitet Kali den Umstieg auf das moderne, strukturierte DEB822-Format für APT-Quellen vor. Neu installierte Systeme nutzen standardmäßig das neue Format in /etc/apt/sources.list.d/kali.sources, um künftigen Warnmeldungen des Paketmanagers zuvorzukommen.

Kernel & Desktops

Unter der Haube verrichtet standardmäßig der Linux-Kernel 6.19 seine Arbeit. An der Oberfläche stehen Anwendern die brandneuen Desktop-Umgebungen GNOME 50 (mit optimierter Speicherverwaltung und beschleunigtem Dateimanager) sowie KDE Plasma 6.6 (inklusive verbesserter Barrierefreiheit und On-Screen-Keyboards für Touch-Geräte) zur Verfügung.

Wichtiger Upgrade-Hinweis: Nach dem Einspielen des Updates über apt full-upgrade wird aufgrund von Aktualisierungen am Richtlinien-Daemon (polkitd) ein sofortiger Systemneustart empfohlen, da der Aufruf von GUI-Programmen mit administrativen Rechten sonst temporär fehlschlagen kann.

Zum offiziellen Changelog: Kali Linux 2026.2 Release Notes

Der Beitrag Kali Linux 2026.2 ist da: 3x schnellerer VM-Boot & neue Tools erschien zuerst auf Ivan Ivanov.

Kaum ist die Aufregung um vergangene Kernel-Lücken verflogen, brennt es im Linux-Ökosystem an einer neuen Stelle. Unter der Kennung CVE-2026-46331 wurde eine Schwachstelle im Traffic-Control-Subsystem (net/sched) des Linux-Kernels klassifiziert. Die Lücke, die in Fachkreisen den Namen „pedit COW“ erhalten hat, ermöglicht eine lokale Rechteausweitung (Local Privilege Escalation – LPE) bis hin zu uneingeschränkten Root-Rechten. Ein öffentlicher Exploit beweist, wie gefährlich die Situation für Shared-Hosting-Umgebungen und Enterprise-Server ist.

Funktionsweise: Cache-Poisoning statt Festplatten-Hack

Der Fehler liegt in der Funktion tcf_pedit_act(), welche für das Editieren von Paket-Headern im laufenden Netzwerkverkehr zuständig ist. Das System berechnet den Copy-on-Write-Bereich (COW) vor der Verarbeitung der Editierungsschlüssel. Da hierbei jedoch die dynamischen Header-Offsets nicht korrekt berücksichtigt werden, kommt es zu einem sogenannten Partial-COW-Fehler.

Das Resultat ist fatal: Ein Angreifer kann über manipulierte Netzwerkregeln einen Out-of-Bounds-Schreibzugriff provozieren. Dieser Schreibbefehl landet im freigegebenen Page-Cache des Kernels. Der Exploit zielt dabei gezielt auf im Arbeitsspeicher gecachte System-Binaries (wie /bin/su) ab, überschreibt diese im RAM mit einem Payload und führt sie aus. Da die eigentliche Datei auf der Festplatte unverändert bleibt, versagen gängige Sicherheitsmonitore, während der Angreifer bereits eine Root-Shell öffnet.

Betroffene Systeme und Bedingungen

Red Hat listet die Versionen RHEL 8, 9 und 10 als verwundbar. Auch Ubuntu (von 18.04 bis 26.04) sowie die aktuellen Debian-Zweige (Bullseye, Bookworm, Trixie) tragen den fehlerhaften Code in ihren Standard-Kerneln.

Damit ein unprivilegierter lokaler Nutzer den Exploit erfolgreich ausführen kann, müssen zwei Bedingungen erfüllt sein:

1. Das Kernel-Modul act_pedit ist aktiv oder kann automatisch nachgeladen werden.

2. Unprivilegierte Benutzer-Namensräume (unprivileged user namespaces) sind im System erlaubt. Diese gewähren dem Angreifer die nötigen virtuellen Netzwerk-Rechte (CAP_NET_ADMIN), um die tc-Regeln überhaupt triggern zu können.

Schnelle Gegenmaßnahmen für Administratoren

Die sicherste Methode ist das unverzügliche Einspielen der bereitstehenden Kernel-Updates der jeweiligen Distributionen und ein anschließender Reboot. Sollte ein Wartungsfenster kurzfristig nicht möglich sein, helfen folgende temporäre Sicherheitsvorkehrungen:

• Einschränkung von User Namespaces: Das Deaktivieren unpriviligierter Namensräume entzieht dem Angreifer die administrative Netzwerk-Basis im User-Space. Bei sysctl-basierten Systemen hilft:

  Bash

  sysctl -w kernel.unprivileged_userns_clone=0
  

• Modul-Blacklisting: Verhindern Sie das automatische Laden des betroffenen Netzwerkmoduls über die Modprobe-Konfiguration (blacklist act_pedit).

Aufgrund der Verfügbarkeit eines schlüsselfertigen Angriffsskripts wird die Dringlichkeit von IT-Sicherheitsbehörden als hoch eingestuft.

Der Beitrag CVE-2026-46331: Linux-Kernel-Lücke pedit COW gibt Root-Rechte erschien zuerst auf Ivan Ivanov.

Der Flipper Zero war ein globales Phänomen, das über 150 Millionen Dollar Umsatz generierte. Doch anstatt sich auf dem Erfolg auszuruhen, schlägt Flipper Devices nun einen völlig neuen Weg ein. Mit dem Blogpost „Flipper One — we need your help“ bricht das Team sein langes Schweigen und stellt eine Plattform vor, die das Konzept mobiler Pentesting- und Bastel-Hardware komplett neu definiert.

Kein Flipper Zero 2: Der Sprung in den Linux-Sektor

Das Wichtigste vorweg: Der Flipper One ist kein Ersatz für den Flipper Zero. Während der Zero als kompakter Mikrocontroller für Point-to-Point-Funkprotokolle (Sub-GHz, RFID, NFC) konzipiert war, agiert der Flipper One eine Ebene höher im Software-Stack. Es handelt sich um einen vollwertigen Arm-Linux-Computer im Hosentaschenformat.

Die Hardware-Architektur im Fokus

Das Herzstück bildet ein leistungsstarker 8-Kern-SoC (Rockchip RK3576), unterstützt von 8 GB RAM und einer Mali-G52 Grafikeinheit. Für die Zukunft gerüstet ist das Gerät durch eine integrierte NPU (Neural Processing Unit), mit der sich lokale KI-Modelle und LLMs direkt auf dem Gadget betreiben lassen.

Im Gegensatz zum Zero wurden klassische Funkmodule von der Hauptplatine verbannt. Der Flipper One setzt stattdessen radikal auf High-Speed-Netzwerke und Modularität:

• Zwei native 1-Gbit/s-Ethernet-Ports für kabelgebundene Netzwerkananalysen.

• Integriertes Wi-Fi 6E.

• Ein hochflexibles Erweiterungssystem, das Verbindungen über PCI Express (M.2-Formfaktor), USB 3.0 und SATA erlaubt, um beispielsweise 5G-Modems oder SSDs anzubinden.

Das Experiment: Entwicklung als Reality-Show

Die eigentlich bemerkenswerte Nachricht dieses Releases ist nicht die Hardware, sondern der unkonventionelle Entwicklungsprozess. Der CEO Pavel Zhovner gibt offen zu, dass das Projekt das Team finanziell und technisch an die Grenzen bringt – verschärft durch die aktuelle weltweite RAM-Krise.

Deshalb hat sich das Unternehmen mit den Open-Source-Spezialisten von Collabora zusammengetan. Das erklärte Ziel: Den Rockchip-Prozessor vollständig in den Mainline-Linux-Kernel zu integrieren und proprietäre Binär-Treiber (Blobs) loszuwerden.

Es gibt noch kein Release-Datum und keinen Preis. Stattdessen hat Flipper das Flipper One Developer Portal ins Leben gerufen. Die gesamte Dokumentation und die 3D-Gehäusemodelle stehen ab Tag eins offen im Netz. Die Community soll aktiv mithelfen – sei es beim Kernel-Coding, beim Aufspüren von Treiber-Problemen oder beim Designen von Erweiterungsmodulen.

Fazit: Ein mutiger und richtiger Schritt

Der Flipper One ist ein Traum für ambitionierte Systemadministratoren, Netzwerktechniker und Hardware-Hacker. Durch den Verzicht auf eingebaute SDR- und RFID-Technik wird das Gerät zwar auf Module angewiesen sein, gewinnt dadurch aber die Flexibilität eines echten Mini-PCs. Dass Flipper den Weg der maximalen Transparenz wählt, anstatt ein unfertiges Produkt auf den Markt zu werfen, verdient großen Respekt.

Zum offiziellen Aufruf: Flipper Blog – Flipper One We Need Your Help

Der Beitrag Flipper One angekündigt: Der neue Linux-Hacker-PC im Check erschien zuerst auf Ivan Ivanov.

Das Team hinter Parrot Security hat die Veröffentlichung von Parrot OS 7.2 bekannt gegeben. Die neue Version der Debian-basierten Distribution bringt zahlreiche Verbesserungen unter der Haube und aktualisiert die Werkzeugsammlung für Sicherheitsforscher.

Ein solides Fundament für Profis

Die wichtigste Änderung in Version 7.2 ist der Wechsel auf den Linux Kernel 7.0. Dies sorgt nicht nur für eine bessere Performance, sondern stellt auch sicher, dass neueste WLAN-Adapter, Grafikkarten und Prozessoren optimal unterstützt werden.

Die wichtigsten Verbesserungen im Detail:

1. Aktualisierte Pentesting-Tools: Von Nmap über Metasploit bis hin zu spezialisierten Forensik-Werkzeugen wurde die gesamte Bibliothek auf die aktuellsten Versionen aktualisiert.

2. Verbesserte Desktop-Experience: Die Editionen mit MATE und KDE Plasma wurden optimiert, um eine stabilere und reaktionsschnellere Arbeitsumgebung zu bieten.

3. Docker & Cloud-Integration: Parrot 7.2 verbessert die Unterstützung für Container-Workflows, was besonders für Entwickler relevant ist, die Sicherheitsprüfungen direkt in ihrer CI/CD-Pipeline durchführen möchten.

4. Security-Fixes: Das Update schließt zahlreiche Sicherheitslücken früherer Versionen und aktualisiert wichtige Systembibliotheken.

Fazit: Ein unverzichtbares Update

Mit Parrot OS 7.2 beweist das Projekt erneut, warum es eine ernstzunehmende Alternative zu Kali Linux ist. Die Kombination aus einem benutzerfreundlichen Desktop und einer mächtigen Auswahl an Werkzeugen macht es zur idealen Wahl für Einsteiger und Profis gleichermaßen.

Das vollständige Changelog finden Sie hier: Parrot OS 7.2 Release Notes

Der Beitrag Parrot OS 7.2: Neues Update für Cybersicherheit & Pentesting erschien zuerst auf Ivan Ivanov.