Ubuntu verteilt Kernel-Sicherheitsupdates für LTS, Cloud und NVIDIA

Ubuntu 24.04 LTS: Auch AWS, Azure, GCP und VMware betroffen

Die Meldung USN-9022-1 richtet sich an Ubuntu 24.04 LTS. Neben dem regulären Linux-Kernel nennt Canonical eigene Pakete für Amazon Web Services, Microsoft Azure, Google Cloud, Google Kubernetes Engine, IBM Cloud, Oracle Cloud und VMware. Hinzu kommen Varianten für Systeme mit niedrigen Latenzanforderungen. Die veröffentlichten Fehlerkorrekturen betreffen zahlreiche Kernelbereiche, darunter Speicherverwaltung, Netzwerksubsysteme, Dateisysteme, Geräte- und Virtualisierungstreiber.

Dass mehrere Kernelpakete in derselben Sicherheitsmeldung stehen, bedeutet nicht, dass jedes Ubuntu-System alle davon installiert hat. Der normale Desktop- oder Serverkernel, ein Cloudkernel und ein speziell angepasster Realtime-Kernel werden separat gepflegt. Für die richtige Aktualisierung ist daher die aktuell installierte Paketfamilie entscheidend.

Ubuntu 22.04 LTS: zusätzliche HWE- und Cloud-Pakete

Mit USN-9024-1 und USN-9025-1 hat Canonical weitere Kernelpakete für Ubuntu 22.04 LTS und 24.04 LTS adressiert. Dazu gehören insbesondere 6.8-basierte Varianten für Cloud- und Spezialplattformen wie AWS, Google Cloud, Oracle Cloud und Raspberry Pi sowie Low-Latency- und Realtime-Ausgaben. Die genauen Kombinationen aus Ubuntu-Version und Paketname unterscheiden sich zwischen den einzelnen Hinweisen.

Das ist beispielsweise bei einer 22.04-Installation mit neuerem Hardware-Enablement-Kernel relevant: Die Versionsnummer des Systems allein verrät noch nicht, ob ein 5.15- oder 6.8-basierter Kernel verwendet wird. Für ein betroffenes System muss der jeweils zugehörige Paket- und Releasezweig aktualisiert werden.

Weitere Sicherheitsmeldungen vom 11. November für Spezialkernel

Canonical veröffentlichte am 11. November zusätzliche Hinweise: USN-9039-1 behandelt einen Azure-CVM-Kernel für Ubuntu 24.04 LTS, USN-9040-1 eine NVIDIA-Low-Latency-Variante derselben Ubuntu-Version. Auch USN-9045-1 betrifft einen NVIDIA-Kernel und führt ausdrücklich CVE-2026-98432 an. Diese Hinweise gelten nicht automatisch für jede Standardinstallation von Ubuntu 24.04 LTS.

In virtualisierten Umgebungen ist eine Bestandsaufnahme deshalb wichtig: Die Kernelpakete in einer AWS-Instanz, einer Azure-VM und einem lokalen Ubuntu-Server können sich trotz derselben LTS-Hauptversion unterscheiden. Ein unverändert von einer anderen Plattform übernommener Paket- oder Kernelvergleich kann falsche Sicherheit vermitteln.

Kritische TCP-Sicherheitslücke: eigene Versionsgrenzen beachten

Parallel zu den Sammelhinweisen führt Canonical die bereits zuvor behandelte CVE-2026-98432 als besonders schwerwiegende TCP-Schwachstelle. Die Sicherheitslücke liegt nach Herstellerangaben beim Aufbau von IPv4-TCP-Verbindungen und kann unter entsprechenden Voraussetzungen eine entfernte Codeausführung ermöglichen. Canonical beziffert die Schwere mit CVSS 9,8. In einem am 2. November veröffentlichten und am 9. November aktualisierten Sicherheitshinweis zur TCP-Lücke erläutert Canonical die inzwischen über die regulären Paketquellen bereitgestellten Korrekturen.

Für die dort dokumentierte reguläre Kernelpaketfamilie nennt Canonical als korrigierte Versionen mindestens 5.15.0-203.213 für Ubuntu 22.04 LTS und 6.8.0-149.149 für Ubuntu 24.04 LTS. Diese Nummern dürfen nicht ungeprüft auf abweichende Cloud-, HWE- oder NVIDIA-Kernelpakete übertragen werden; dafür gelten deren eigene Paketversionen und Security Notices.

Canonical weist darauf hin, dass für neuere Ubuntu-Versionen keine Freischaltung des experimentelleren -proposed-Paketbereichs mehr erforderlich ist. Die Korrekturen sind für die genannten Standard-Releases über die regulären Paketarchive erhältlich. Eine Installation aus Fremdquellen ist dafür nicht notwendig.

Updates installieren und den aktiven Kernel nach dem Neustart kontrollieren

Für regulär gepflegte Ubuntu-Systeme erfolgt die Aktualisierung über die konfigurierte Paketverwaltung. Canonical empfiehlt für die Behebung der TCP-Schwachstelle das Aktualisieren aller Pakete und anschließend einen Neustart. Auf Servern sollte dieser im vorgesehenen Wartungsfenster erfolgen, damit Dienste und virtuelle Arbeitslasten geordnet neu starten können.

sudo apt update
sudo apt upgrade
sudo reboot

Mit uname -r lässt sich anschließend der laufende Kernel anzeigen. Die installierten Kernel-Image-Pakete können etwa über dpkg -l 'linux-image*' eingesehen werden. Wichtig ist die Unterscheidung zwischen installierter Version und tatsächlich aktivem Kernel: Nach dem Paketupgrade läuft bis zum Neustart üblicherweise noch der bisherige Kernel.

Betreiber mit DKMS-Treibern, proprietären Kernelmodulen, Secure Boot oder angepassten Treiberpaketen sollten nach einem Kernelwechsel insbesondere den erfolgreichen Modulbau und die Funktion der benötigten Geräte prüfen. Auf produktiven Systemen gehören außerdem Netzwerkverbindungen, Storage-Mounts und die erwarteten Dienste zur Kontrolle nach dem Neustart.

Offizielle Sicherheitshinweise und Updatequellen

Die maßgebliche Übersicht ist Canonicals Liste der Ubuntu Security Notices. Für die Veröffentlichungen vom 10. November sind vor allem USN-9022-1 (Standard- und Cloudkernel), USN-9024-1 (weitere 6.8-basierte Pakete) und USN-9025-1 (Oracle- und Raspberry-Pi-Varianten) relevant. Die Aktualisierungen werden über die offiziellen Ubuntu-Paketarchive verteilt; ein einzelner allgemeingültiger Kernel-Installer wäre für diese unterschiedlichen Plattformen ungeeignet.

Ergänzend stehen die Hinweise vom 11. November für Azure CVM, NVIDIA Low Latency und NVIDIA/CVE-2026-98432 bereit. Wer genaue korrigierte Paketstände prüfen muss, sollte den entsprechenden Canonical-Hinweis für die eigene Ubuntu-Ausgabe und den installierten Kerneltyp heranziehen.