---
title: "DirtyClone: Neue Linux-Kernel-Lücke ermöglicht lokale Root-Eskalation"
date: 2026-06-28T17:39:01+02:00
modified: 2026-06-28T17:39:02+02:00
category: sicherheit
type: news
author: Marcel Schönfelder
canonical: https://s-edv.com/news/dirtyclone-cve-2026-43503-linux-kernel-root-eskalation
reading_time: 2
---

# DirtyClone: Neue Linux-Kernel-Lücke ermöglicht lokale Root-Eskalation

Sicherheitsforscher von JFrog haben einen funktionierenden Proof-of-Concept-Exploit für die Linux-Kernel-Schwachstelle CVE-2026-43503 veröffentlicht. Die als DirtyClone bezeichnete Lücke gehört zur gleichen Familie wie die zuvor entdeckten DirtyFrag-Lücken, nutzt aber einen anderen Angriffsvektor im Netzwerk-Stack des Kernels.

## Was ist passiert?

Die Schwachstelle befindet sich in der Funktion `skb_try_coalesce` des Linux-Kernels, die für das Zusammenführen von Netzwerkpuffern zuständig ist. Beim Klonen von Netzwerkpaketen über `__pskb_copy_fclone` wird das `SKBFL_SHARED_FRAG`-Flag verworfen, das markiert, dass der Speicher des Pakets mit einer Datei auf der Festplatte geteilt wird. Fehlt dieses Flag, kann ein Angreifer den Kernel-Speicher korrumpieren und durch Copy-on-Write-Mechanismen Dateiinhalte manipulieren. Das ermöglicht die Eskalation auf Root-Ebene. JFrog hat am 25. Juni 2026 einen funktionierenden Exploit-Walkthrough veröffentlicht.

## Wer ist betroffen?

Betroffen sind Linux-Systeme mit Kernel-Versionen vor 7.1-rc5. Der Patch wurde am 21. Mai 2026 in den Mainline-Kernel unter Commit `9e171fc1d7d7` integriert. Alle Distributionen, die diesen Patch noch nicht in ihre Pakete zurückportiert haben, sind verwundbar. Dazu zählen potenziell ältere LTS-Kernel und Distributionen mit langsamerer Patch-Politik. Mehrbenutzersysteme und Server mit Shell-Zugang für nicht privilegierte Nutzer sind besonders gefährdet.

## Wie kritisch ist das?

Die Schwachstelle trägt CVE-2026-43503 und einen CVSS-Score von 8.8 (High). Der Angriff erfordert lokalen Zugriff und einen unprivilegierten Nutzeraccount. Besonders problematisch: Der Exploit hinterlässt keine Spuren in Kernel-Logs oder Audit-Protokollen, was die Erkennung und Forensik erschwert. Es ist keine aktive Ausnutzung im Feld bekannt, aber der öffentliche PoC ermöglicht Angreifern die schnelle Übernahme.

## Was sollten Admins jetzt tun?

1. Kernel auf Version 7.1-rc5 oder neuer aktualisieren, mindestens aber den Patch mit Commit 9e171fc1d7d7 einspielen
2. Bei Distributionen wie Ubuntu, Debian oder RHEL prüfen, ob das Security-Update bereits verteilt wurde
3. Auf Mehrbenutzersystemen den Zugriff einschränken und unnötige lokale Nutzerkonten entfernen
4. Kernel-Logs auf unerklärliche Privileg-Eskalationen überwachen, da der Angriff selbst keine Spuren hinterlässt
5. Container-Hosts priorität patchen, da Container-Umgebungen mit unprivilegierten Nutzern angreifbar sind

## Einordnung für Unternehmen

Für kleine und mittlere Unternehmen mit Linux-Servern ist DirtyClone besonders relevant, wenn mehrere Nutzer oder Dienste mit unterschiedlichen Berechtigungen auf demselben System laufen. Webserver mit SSH-Zugang, Build-Server mit Entwicklerkonten oder Jumphosts sind typische Ziele. Der fehlende Audit-Trail bedeutet, dass ein erfolgreicher Angriff unbemerkt bleiben kann, bis weitere Schadsoftware installiert wird. Die schnelle Anwendung des Kernel-Updates ist daher wichtiger als bei vielen anderen lokalen Privileg-Eskalationen.

## Passende Anleitungen auf S-EDV

1. [CISA KEV: Warum der Known Exploited Vulnerabilities Catalog für Admins Pflichtlektüre bleibt](https://s-edv.com/news/cisa-kev-catalog-admins-patch-priorisierung) – Welche Schwachstellen aktuell aktiv ausgenutzt werden und wie du die Priorisierung im Patch-Prozess strukturierst.
2. [Arch AUR: Infostealer in Hunderten Community-Paketen entdeckt](https://s-edv.com/news/arch-aur-community-pakete-infostealer-rootkit-malware) – Auch aus scheinbar vertrauenswürdigen Paketquellen können Angreifer lokale Rechte ausweiten.

## Quellen

1. [NVD: CVE-2026-43503](https://nvd.nist.gov/vuln/detail/CVE-2026-43503)
2. [CyberSecurityNews: DirtyClone](https://cybersecuritynews.com/dirtyclone-linux-vulnerability/)
3. [Threat-Modeling.com: CVE-2026-43503](https://threat-modeling.com/cve-2026-43503-dirtyclone-linux-privilege-escalation/)