Ubuntu (USN) Seite 3

Im Linux-Kernel wurde eine Schwachstelle im ipvlan-Modul behoben, bei der der addrs_lock über mehrere ipvlan-Geräte geteilt statt pro Port verwaltet wurde, was zu Race Conditions führen konnte. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Im Linux-Kernel wurde eine Schwachstelle im TLS-Subsystem behoben: In get_netdev_for_sock() wird die Ermittlung des Netzwerkgeräts nun über __sk_dst_get() und dst_dev_rcu() abgesichert. Der Fehler wird u. a. im Ubuntu-Sicherheitshinweis USN-8393-1 (Linux kernel, Azure FIPS) adressiert. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: die von den Distributionen bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde eine Race Condition im ALSA-aloop-Treiber behoben. Der PCM-Trigger-Callback prüft den PCM-Zustand und stoppt den Stream ohne ausreichende Synchronisation, was zu einem fehlerhaften Zustand führen kann. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: die vom jeweiligen Distributor bereitgestellten Kernel-Updates einspielen (u. a. Ubuntu USN-8393-1).

Ubuntu Linux 6.8 enthält AppArmor-SAUCE-Patches, die beim Ändern einer verketteten Liste keine Sperre setzen. Ein nicht privilegierter lokaler Benutzer kann eine Race Condition auslösen, die zu einem Use-After-Free führen kann. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Ubuntu Linux 6.8, 6.17 und 7.0 enthalten AppArmor-SAUCE-Patches, die die Grösse eines internen Puffers möglicherweise falsch berechnen und dadurch einen Heap-Out-of-Bounds-Read im Benachrichtigungs-Handling verursachen können. Ein nicht privilegierter lokaler Benutzer kann den Fehler auslösen. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Im Linux-Kernel wurde eine Schwachstelle in der Speicherverwaltung (mm/page_alloc) behoben, bei der es unter SMP=n-Konfigurationen zu einer PCP-Korruption kommen konnte. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: den vom Distributor bereitgestellten Kernel-Fix einspielen.

Im Linux-Kernel besteht im Tegra-ADMA-Treiber (dmaengine) ein Use-after-free-Fehler, der beim Beenden von Audio-Streams ausgelöst werden kann. Die Schwachstelle wird zusätzlich im Ubuntu-Sicherheitshinweis USN-8393-1 zum Linux-Kernel (Azure FIPS) geführt. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: die verfügbaren Kernel-Sicherheitsupdates der jeweiligen Distribution einspielen.

Eine lokale Rechteausweitung in snapd unter Linux erlaubt es lokalen Angreifern, Root-Rechte zu erlangen, indem sie das private /tmp-Verzeichnis eines Snaps neu erstellen, wenn systemd-tmpfiles so konfiguriert ist, dass dieses Verzeichnis automatisch aufgeräumt wird. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Das Update der jeweiligen Distribution einspielen.

zlib ist eine weit verbreitete Kompressionsbibliothek. In Version 1.2.8 kann die Datei inftrees.c kontextabhängigen Angreifern durch fehlerhafte (unzulässige) Zeigerarithmetik eine nicht näher spezifizierte Auswirkung ermöglichen. Da zlib in zahlreichen Betriebssystemen und Anwendungen eingebettet ist, geben entsprechend viele Distributionen und Hersteller eigene Sicherheitshinweise heraus. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierungen der jeweiligen Distribution bzw. des Herstellers einspielen.

Die Funktion inflateMark in inflate.c der Kompressionsbibliothek zlib 1.2.8 kann von kontextabhängigen Angreifern über Vektoren ausgenutzt werden, die Linksverschiebungen negativer Ganzzahlen beinhalten, und dabei nicht näher spezifizierte Auswirkungen haben. Da zlib in viele Betriebssysteme und Anwendungen eingebettet ist, sind zahlreiche Hersteller betroffen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die von den jeweiligen Herstellern bereitgestellten Aktualisierungen für die betroffenen Produkte einspielen.

Für den Apache HTTP Server wurde eine Sicherheitslücke gemeldet, die in einem Ubuntu-Sicherheitsupdate (USN-8338-2) als Regression adressiert wird. Ausnutzungswahrscheinlichkeit (EPSS): 88.4 %.

Für diese nginx-Schwachstelle liegt ausser den Kennzahlen keine nähere technische Beschreibung in den Quellen vor. Ubuntu führt sie im Advisory USN-8375-1 („nginx vulnerabilities“); zusätzlich verweisen die Advisory-Seiten von nginx und Asustor darauf. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, die Einstufung bleibt daher neutral. Ausnutzungswahrscheinlichkeit (EPSS): 61.5 % – ein auffällig hoher Wert. Empfohlene Massnahme: die im Ubuntu-Advisory USN-8375-1 bereitgestellten nginx-Pakete einspielen.

Diese Schwachstelle im Linux-Kernel wird über Ubuntu-Sicherheitshinweise (USN-8528-1 für Xilinx ZynqMP und USN-8527-1 für Raspberry Pi) adressiert. Eine detaillierte technische Beschreibung liegt in den Quelldaten nicht vor; ein CVSS-Basiswert ist nicht enthalten. Ausnutzungswahrscheinlichkeit (EPSS): 9.8 %. Empfohlene Massnahme: die verfügbaren Kernel-Updates der jeweiligen Distribution einspielen.

Für den Apache HTTP Server wurde eine Sicherheitslücke gemeldet, die in einem Ubuntu-Sicherheitsupdate (USN-8338-2) als Regression adressiert wird. Ausnutzungswahrscheinlichkeit (EPSS): 4.7 %.

Für nginx wurden Sicherheitslücken gemeldet, die im Rahmen des Ubuntu Security Notices USN-8354-1 zusammengefasst sind. Ausnutzungswahrscheinlichkeit (EPSS): 4.3 %.

Für Apache HTTP Server wurden Sicherheitslücken gemeldet, die in einem Ubuntu-Sicherheitsupdate (USN-8338-2) adressiert werden. Ausnutzungswahrscheinlichkeit (EPSS): 3.9 %.

Für den Apache HTTP Server wurde eine Sicherheitslücke gemeldet, die in einem Ubuntu-Sicherheitsupdate (USN-8338-2) als Regression adressiert wird. Ausnutzungswahrscheinlichkeit (EPSS): 2.8 %.

Für Ubuntu-Systeme wurde eine Sicherheitslücke im Apache HTTP Server gemeldet (CVE-2024-39573), die durch ein Regression-Update adressiert wird. Ausnutzungswahrscheinlichkeit (EPSS): 2.6 %.

Für den Apache HTTP Server wurde eine Sicherheitslücke gemeldet, die in einem Ubuntu-Sicherheitsupdate (USN-8338-2) als Regression adressiert wird. Ausnutzungswahrscheinlichkeit (EPSS): 1.9 %.

Für den Apache HTTP Server wurde eine Sicherheitslücke gemeldet, die in einem Ubuntu-Sicherheitsupdate (USN-8338-2) als Regression adressiert wird. Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %.

Für Ubuntu-Produkte wurden Sicherheitslücken in tar-fs gemeldet (USN-8367-1). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Für nginx wurden Sicherheitslücken gemeldet (USN-8354-1), die Asustor, nginx und Ubuntu-Systeme betreffen. Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

Für Ubuntu-Systeme wurde eine Sicherheitslücke im Apache HTTP Server gemeldet (CVE-2024-42516), die durch ein Regression-Update adressiert wird. Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

Für Ubuntu-Produkte wurden Sicherheitslücken in tar-fs gemeldet (USN-8367-1). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %.

Im Dateisynchronisationswerkzeug rsync wurden mehrere Schwachstellen behoben, für die Ubuntu mit dem Security Notice USN-8349-1 Aktualisierungen bereitstellt. Betroffen sind unter anderem Produkte von Asustor sowie Ubuntu (USN). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %.

In GnuTLS wurde ein Off-by-One-Fehler in der Bereichsprüfung von PKCS#12-Bag-Elementen entdeckt. Ein entfernter Angreifer kann damit über das interne Array eines PKCS#12-Bags hinausschreiben. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: Sicherheitsupdates gemäss Ubuntu-Hinweis USN-8539-1 einspielen.

Für diese Schwachstelle liegen derzeit keine detaillierten technischen Quellangaben vor; sie betrifft laut Ubuntu-Sicherheitshinweis USN-8385-1 die Software Robocode. Eine inhaltliche Bewertung ist daher nur anhand der vorhandenen Kennzahlen möglich. Severity-Einstufung: Mittel. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: verfügbare Sicherheitsupdates einspielen (Ubuntu USN-8385-1) und bei weiteren Herstellerinformationen erneut bewerten.

Für nginx wurden Sicherheitslücken gemeldet, die im Rahmen des Ubuntu Security Notices USN-8354-1 zusammengefasst sind. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Für Ubuntu-Systeme wurde eine Sicherheitslücke im Apache HTTP Server gemeldet (CVE-2024-43204), die durch ein Regression-Update adressiert wird. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Für nginx wurden Sicherheitslücken gemeldet (USN-8354-1), die Asustor, nginx und Ubuntu-Systeme betreffen. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Für Ubuntu-Systeme wurde eine Sicherheitslücke im Apache HTTP Server gemeldet (CVE-2024-47252), die durch ein Regression-Update adressiert wird. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Der Ubuntu-Sicherheitshinweis USN-8540-1 weist mehrere Schwachstellen in OpenVPN aus. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: die bereitgestellten Sicherheitsupdates gemäss Ubuntu-Hinweis USN-8540-1 einspielen.

Diese Schwachstelle betrifft Robocode und wird im Ubuntu-Sicherheitshinweis USN-8385-1 behandelt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Die von Ubuntu gemäss USN-8385-1 bereitgestellten Aktualisierungen einspielen.

Ubuntu weist im Sicherheitshinweis USN-8540-1 mehrere Schwachstellen in OpenVPN aus. Nähere technische Details liegen in den Quelldaten nicht vor; ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: die von Ubuntu bereitgestellten Sicherheitsaktualisierungen einspielen.

CVE-2025-37778 ist eine Schwachstelle im Linux-Kernel, die in den Ubuntu-Sicherheitshinweisen USN-8528-1 (Linux kernel, Xilinx ZynqMP) und USN-8527-1 (Linux kernel, Raspberry Pi) behoben wurde. Nähere technische Details liegen in den Quelldaten nicht vor. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: die bereitgestellten Ubuntu-Kernel-Updates einspielen.

Für Ubuntu-Systeme wurde eine Sicherheitslücke im Apache HTTP Server gemeldet (CVE-2025-49812), die durch ein Regression-Update adressiert wird. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Der MariaDB-Server – ein von der Community entwickelter Fork des MySQL-Servers – ist in mehreren Versionssträngen (10.6.1 bis vor 10.6.26, 10.11.1 bis vor 10.11.17, 11.4.1 bis vor 11.4.11, 11.8.1 bis vor 11.8.7 sowie 12.3.1) von einer Schwachstelle betroffen, die die Verfügbarkeit beeinträchtigen kann. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Ubuntu hat dazu das Sicherheitshinweis USN-8536-1 veröffentlicht. Empfohlene Massnahme: auf eine korrigierte MariaDB-Version aktualisieren bzw. die vom Distributor bereitgestellten Pakete einspielen.

Im Linux-Kernel wurde eine Schwachstelle behoben, die in mehreren Ubuntu-Sicherheitshinweisen (USN-8527-1 bis USN-8530-1, u. a. für die Kernel-Varianten AWS, Raspberry Pi und Xilinx ZynqMP) adressiert wird. Nähere technische Details liegen in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: die von Ubuntu bereitgestellten Kernel-Updates einspielen.

Für den Linux-Kernel (Ubuntu, Xilinx ZynqMP und Raspberry Pi) wurde im Rahmen von USN-8528-1 und USN-8527-1 eine Sicherheitslücke gemeldet. Zu dieser Schwachstelle liegen aus den Quellen keine technischen Detailbeschreibungen vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Sicherheitsupdates von Ubuntu (USN-8528-1, USN-8527-1) einspielen.

Für nginx wurde eine Sicherheitslücke (CVE-2025-53859) gemeldet, die auch über Ubuntu (USN-8375-1) adressiert wird. Zu dieser Schwachstelle liegen aus den Quellen keine technischen Detailbeschreibungen vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Sicherheitsupdates des Herstellers bzw. der Distribution nach Verfügbarkeit einspielen.

Für nginx- und Ubuntu-Produkte wurden Sicherheitslücken (CVE-2026-40460) gemeldet, wie im Ubuntu Security Notice USN-8354-1 beschrieben. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Für diese Schwachstelle in nginx liegen derzeit keine detaillierten technischen Quellangaben vor; sie wird zusätzlich in einem Ubuntu-Sicherheitshinweis (USN-8375-1) geführt. Eine inhaltliche Bewertung ist daher nur anhand der vorhandenen Kennzahlen möglich. Severity-Einstufung: Mittel. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: verfügbare Sicherheitsupdates einspielen (u. a. Ubuntu USN-8375-1) und bei Verfügbarkeit weiterer Herstellerinformationen erneut bewerten.

Diese Schwachstelle in libssh2 wird im Ubuntu-Sicherheitshinweis USN-8532-1 behandelt. Zur konkreten technischen Ausprägung dieses Eintrags liegen in den Quelldaten keine weiteren Details vor. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die im Ubuntu-Sicherheitshinweis USN-8532-1 bereitgestellten Aktualisierungen einspielen.

Für Ubuntu-Systeme wurden Schwachstellen im DNS-Resolver Unbound gemeldet (CVE-2026-33278). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Mehrere Schwachstellen in rsync wurden behoben, betroffen sind unter anderem Ubuntu-Systeme sowie Asustor-Geräte. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Es wird empfohlen, die bereitgestellten Sicherheitsupdates einzuspielen.

Die Ubuntu-Sicherheitsmeldung USN-8532-1 behebt mehrere Schwachstellen in libssh2, darunter diese Kennung. Eine detaillierte technische Beschreibung sowie ein CVSS-Basiswert liegen in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die in USN-8532-1 bereitgestellten libssh2-Updates einspielen.

In OpenSSH vor 10.4 hält der sshd-Dienst die minimale Authentifizierungsverzögerung nicht immer ein. Dies kann Timing-Unterschiede offenbaren und so Rückschlüsse während der Authentifizierung ermöglichen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Auf OpenSSH 10.4 oder neuer bzw. die per Distributions-Advisory (u. a. Ubuntu USN-8533-1) bereitgestellten Pakete aktualisieren.

Für nginx wurde eine Sicherheitslücke (CVE-2026-28753) gemeldet, die auch über Ubuntu (USN-8375-1) adressiert wird. Zu dieser Schwachstelle liegen aus den Quellen keine technischen Detailbeschreibungen vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Sicherheitsupdates des Herstellers bzw. der Distribution nach Verfügbarkeit einspielen.

Im Linux-Kernel wurde eine Schwachstelle im SUNRPC-Subsystem behoben: Da ->sock ohne gehaltenes ->recv_mutex asynchron auf NULL gesetzt werden kann, war der Zugriff während eines sysfs-Reads unzureichend gegen diese Änderung gesperrt. CVSS-Basiswert: 4.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Für diese Schwachstelle liegen derzeit keine detaillierten technischen Quellangaben vor; sie betrifft laut Ubuntu-Sicherheitshinweis USN-8528-1 den Linux-Kernel (Xilinx ZynqMP). Eine inhaltliche Bewertung ist daher nur anhand der vorhandenen Kennzahlen möglich. Severity-Einstufung: Mittel. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: verfügbare Kernel-Sicherheitsupdates einspielen (Ubuntu USN-8528-1).