Samsung KNOX: Acht Jahre alte Kernel-Lücke CVE-2026-20971 betrifft Galaxy S9 bis S25
Die KNOX-Sicherheitsplattform von Samsung wies über acht Jahre eine Kernel-Schwachstelle auf. Die Lücke betraf Galaxy-Geräte von S9 bis S25 und konnte zur vollen Systemkontrolle missbraucht werden.
Forscher von LucidBit Labs haben eine acht Jahre alte Sicherheitslücke in der KNOX-Sicherheitsplattform von Samsung entdeckt. Die Schwachstelle CVE-2026-20971 (CVSS 7.8) betrifft nahezu alle Samsung Galaxy-Geräte vom S9 bis zum aktuellen S25. Sie ermöglicht eine Privilegien Ausweitung bis in den Kernel und damit die vollständige Kontrolle über das Gerät.
Meldung und aktuelle Lage
Die Sicherheitslücke wurde von den Forschern der LucidBit Labs entdeckt und an Samsung gemeldet. Samsung hat die Lücke inzwischen geschlossen und ein Sicherheitsupdate für die betroffenen Geräte bereitgestellt. Die Schwachstelle war seit der Einführung des Galaxy S9 im Jahr 2018 in der KNOX-Plattform vorhanden – insgesamt über acht Jahre.
Die Lücke befindet sich im Zusammenspiel zwischen PROCA (Process Authenticator) und FIVE (File Integrity Verification Environment), zwei zentralen Komponenten der KNOX-Sicherheitsarchitektur. PROCA ist ein proprietäres Subsystem im Samsung-Kernel, das unbefugte Prozesse daran hindert, ausgeführt zu werden. FIVE ist das Kernel-seitige Integritäts-Subsystem, das auf dem Linux-Integrity-Messurement-Modell basiert und von Samsung erweitert wurde.
Technische Details für Admins
Die Schwachstelle ist eine klassische Use-after-Free (UAF)-Lücke, die durch eine Race-Condition im präemptiven Android-Kernel ausgelöst wird. Der Angriffsablauf im Detail:
- Ein Prozess führt execve() aus, um ein Kindprozess zu starten.
- Dabei wird task_integrity_put(old_tint) aufgerufen, das die ursprüngliche Integrity-Struktur freigibt.
- Gleichzeitig versucht proc_integrity_value_read(), auf diese bereits freigegebene Struktur zuzugreifen.
- Durch den präemptiven Kernel kann ein Thread zwischen dem Lesen des Pointers und seiner Verwendung unterbrochen werden.
- Ein Angreifer kann den freigegebenen Speicher kontrolliert neu belegen und so die Kernel-Kontrolle übernehmen.
Die Forscher fanden einen Weg, die UAF auszunutzen, indem sie den Prozess zwangen, eine nicht ausführbare Datei (Non-ELF) zu laden. Dadurch wurde die refcount-Sperre umgangen und der freigegebene Speicher konnte kontrolliert neu belegt werden.
Die integrierte Kernel Control Flow Integrity (KCFI) erschwerte die Ausnutzung, machte sie aber nicht unmöglich. Die Forscher demonstrierten einen funktionierenden Exploit, der die KCFI umgeht.
Betroffene Geräte
| Geräteserie | Betroffen | Patch verfügbar |
|---|---|---|
| Galaxy S9 bis S9+ | Ja | Ja (Sicherheitsupdate Juni 2026) |
| Galaxy S10 bis S10+ | Ja | Ja |
| Galaxy S20 bis S20 Ultra | Ja | Ja |
| Galaxy S21 bis S21 Ultra | Ja | Ja |
| Galaxy S22 bis S22 Ultra | Ja | Ja |
| Galaxy S23 bis S23 Ultra | Ja | Ja |
| Galaxy S24 bis S24 Ultra | Ja | Ja |
| Galaxy S25 bis S25 Ultra | Ja | Ja |
| Galaxy Note-Reihe (ab Note 9) | Ja | Ja |
| Galaxy Z Fold/Flip (ab Fold 1) | Ja | Ja |
Risiko für KMU und Betrieb
Für Unternehmen, die Samsung Galaxy-Geräte im Einsatz haben, ist diese Lücke relevant:
- Die Lücke ermöglicht eine vollständige Kernel-Kompromittierung. Ein Angreifer mit lokalem Zugriff kann das Gerät vollständig kontrollieren.
- Mobile Device Management (MDM)-Systeme können die Lücke nicht schließen – nur das Samsung-Sicherheitsupdate hilft.
- Die Lücke war acht Jahre lang vorhanden. Geräte, die keine Updates mehr erhalten (z. B. Galaxy S9), bleiben dauerhaft verwundbar.
- Für BYOD-Umgebungen (Bring Your Own Device) ist die Lücke besonders kritisch, da private Geräte oft nicht aktualisiert werden.
Was Admins jetzt prüfen sollten
- Sicherheitsupdate prüfen: Samsung hat das Update im Juni 2026 bereitgestellt. Geräte sollten auf den aktuellen Sicherheitspatch-Stand gebracht werden.
- MDM-Richtlinien aktualisieren: In MDM-Systemen sollte der Sicherheitspatch-Level als Compliance-Kriterium definiert werden.
- Bestand an Samsung-Geräten erfassen: Welche Galaxy-Modelle sind im Einsatz? Welche erhalten noch Updates?
- Geräte ohne Update-Unterstützung austauschen: Galaxy S9 und ältere Modelle erhalten keine Sicherheitsupdates mehr und sollten ausgetauscht werden.
- BYOD-Richtlinien verschärfen: Für private Geräte sollte ein Mindest-Sicherheitspatch-Level vorgeschrieben werden.
Admin-Einschätzung
Eine acht Jahre alte Kernel-Lücke in der KNOX-Plattform ist ein bemerkenswerter Fund. KNOX gilt als eine der sichersten Android-Plattformen und wird von Samsung als Enterprise-Feature vermarktet. Dass eine so grundlegende Schwachstelle so lange unentdeckt blieb, wirft Fragen zur Qualität der internen Sicherheitsprüfungen auf.
Für Admins ist die wichtigste Erkenntnis: Selbst vertrauenswürdige Sicherheitsplattformen können über Jahre hinweg kritische Lücken enthalten. Regelmäßige Updates und ein konseqüntes Patch-Management sind der einzige Schutz – auch bei vermeintlich sicheren Systemen.
Passende Anleitungen auf S-EDV
- Fortinet Juni 2026: Kritische RCE-Patches – Vergleichbare Kernel-Lücken in Enterprise-Hardware.
- LiteLLM CVE-2026-42271: RCE in KI-Gateway – Aktuelle Schwachstellen im Juni 2026 im Vergleich.
