Mit IPFire 2.29 \u2013 Core Update 202 schlie\u00dft das Team der freien Firewall-Distribution mehrere Sicherheitsl\u00fccken im Linux-Kernel, aktualisiert OpenVPN auf Version 2.7 und liefert zahlreiche weitere Sicherheits- und Paketupdates.<\/p>\n
Weiterlesen nach der Anzeige<\/p>\n
Kernel-L\u00fccken Dirty Frag und Copy Fail<\/p>\n
Im Zentrum steht ein Rebase auf Linux 6.18.32. Damit behebt IPFire unter anderem die k\u00fcrzlich bekannt gewordenen L\u00fccken Dirty Frag<\/a> (CVE-2026-43284) und Copy Fail<\/a> (CVE-2026-31431). Beide erlauben lokalen Nutzern eine Rechteausweitung bis hin zu root. Dirty Frag steckt im ESP\/IPsec-Code des Kernels. Encapsulating Security Payload (ESP) ist ein zentraler Baustein vieler IPsec-VPNs. \u00dcber die L\u00fccke k\u00f6nnen sich unprivilegierte lokale Nutzer unter bestimmten Bedingungen h\u00f6here Rechte verschaffen.<\/p>\n Copy Fail betrifft das Krypto-Subsystem rund um AF_ALG und das Modul algif_aead. AF_ALG bietet Anwendungen direkten Zugriff auf kryptografische Funktionen des Kernels. Verwundbar sind potenziell alle Linux-Distributionen mit Kerneln seit 2017.<\/p>\n Das Projekt ordnet die praktische Angriffsfl\u00e4che auf typischen IPFire-Systemen allerdings als gering ein: Beide L\u00fccken setzen lokalen Zugriff mit einem unprivilegierten Konto voraus, und IPFire richtet standardm\u00e4\u00dfig keine regul\u00e4ren Shell-Zug\u00e4nge f\u00fcr normale Nutzer ein. Dennoch verweisen die Entwickler auf das Prinzip \u201eDefence in Depth\u201c und raten unabh\u00e4ngig von der konkreten Ausnutzbarkeit zum Update.<\/p>\n OpenVPN 2.7 beschleunigt VPN-Tunnel<\/p>\n Die wichtigste funktionale Neuerung ist OpenVPN 2.7<\/a> mit Unterst\u00fctzung f\u00fcr Data Channel Offloading (DCO) \u2013 dank besserer Nutzung der Hardware-Kryptobeschleunigung sinkt dabei auch die CPU-Last. Dabei wandert die Ver- und Entschl\u00fcsselung des Nutzdatenverkehrs vom Userspace in den Kernel. Bisher musste der OpenVPN-Daemon jedes Paket selbst verarbeiten. Durch die Kernel-Integration soll DCO den VPN-Durchsatz deutlich erh\u00f6hen und gleichzeitig CPU-Last und Jitter senken. In eigenen Tests stieg der Durchsatz pro Tunnel laut IPFire von rund 1 GBit\/s auf bis zu 10 GBit\/s.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Au\u00dferdem behebt das Update eine Schwachstelle in glibc bei der Verarbeitung manipulierter DNS-Antworten. Betroffen sind die Funktionen gethostbyaddr und gethostbyaddr_r f\u00fcr Reverse-DNS-Abfragen. Angreifer k\u00f6nnten dar\u00fcber gef\u00e4lschte Hostnamen einschleusen (GLIBC-SA-2026-0005). Aktualisiert haben die Entwickler dar\u00fcber hinaus zentrale Komponenten wie OpenSSL 3.6.2, OpenSSH 10.3p1, Suricata 8.0.5, strongSwan 6.0.6, BIND 9.20.22 und Unbound 1.25.1. Alle Details zum Core Update 202 stehen in den Release Notes auf der Projektwebseite<\/a>.<\/p>\n Lesen Sie auchMehr anzeigenWeniger anzeigen<\/p>\n