Ein aufsehenerregender Sicherheitsfund sorgt in der IT-Security-Community für Diskussionen: Das KI-Modell Claude von Anthropic hat eigenständig eine kritische Schwachstelle im FreeBSD-Kernel identifiziert, einen funktionsfähigen Exploit entwickelt und dabei sogar eine vollständige Remote-Code-Execution mit Root-Rechten (uid 0) demonstriert. Die Lücke ist unter der Kennung CVE-2026-4747 registriert und betrifft FreeBSD 13.5.
Die technische Schwachstelle im Detail
Der Fehler steckt im Kernelmodul kgssapi.ko, das für die RPCSEC_GSS-Authentifizierung zuständig ist – ein Mechanismus, der bei NFS-Verbindungen und anderen RPC-basierten Diensten eingesetzt wird. Konkret liegt das Problem in der Funktion svc_rpc_gss_validate(): Dort wird ein Stack-Buffer mit lediglich 96 Bytes für den Credential-Body reserviert. Übersteigt ein eingehender Credential diesen Wert, kommt es zu einem klassischen Stack Buffer Overflow. Angreifer können damit den Stack korrumpieren – gespeicherte Register und vor allem die Rücksprungadresse werden überschrieben, was eine vollständige Kontrolle über den Programmfluss und damit über den Kernel ermöglicht.
Der Exploit-Pfad ist besonders gefährlich, weil er remote ausgenutzt werden kann: Ein Angreifer muss lediglich einen präparierten RPC-Request mit einem übergroßen Credential-Body senden. Das Ergebnis ist eine Reverse Shell mit Root-Rechten – ohne lokalen Zugriff auf das Zielsystem. FreeBSD-Server, die NFS oder andere GSS-gesicherte RPC-Dienste exponieren, sind damit potenziell vollständig kompromittierbar.
Der Patch und betroffene Versionen
Die FreeBSD-Entwickler haben die Lücke im Sicherheitsadvisory FreeBSD-SA-26:08.rpcsec_gss adressiert. Der Fix ist denkbar simpel, aber wirkungsvoll: In der gepatchten Version 14.4-RELEASE-p1 wurde eine einzige Bounds-Prüfung vor dem kritischen Kopiervorgang eingefügt. Überschreitet die Auth-Länge den zulässigen Maximalwert, wird der Request mit einer Fehlermeldung abgebrochen. FreeBSD 13.5 bleibt ohne Patch verwundbar – Administratoren sollten schnellstmöglich auf die gesicherte Version aktualisieren oder den Zugriff auf betroffene RPC-Dienste durch Firewall-Regeln einschränken.
KI als Sicherheitsforscher: Ein Paradigmenwechsel?
Was diesen Fund besonders bemerkenswert macht, ist nicht die Schwachstelle selbst – Stack Buffer Overflows sind seit Jahrzehnten bekannt –, sondern wer sie gefunden hat. Claude hat den gesamten Prozess durchlaufen: Codeanalyse, Identifikation der verwundbaren Stelle, Entwicklung eines funktionsfähigen Exploits inklusive Reverse Shell. Das zeigt, dass große Sprachmodelle mittlerweile in der Lage sind, nicht nur theoretische Sicherheitsprobleme zu benennen, sondern auch praktisch ausnutzbare Exploits zu konstruieren.
Dies ist ein zweischneidiges Schwert. Einerseits eröffnet es der defensiven Sicherheitsforschung enorme Möglichkeiten: Schwachstellen können schneller und systematischer in großen Codebasen aufgespürt werden. Andererseits senkt es die Einstiegshürde für Angreifer erheblich. Wer früher tiefes Assembler- und Exploit-Wissen benötigte, kann heute potenziell mit KI-Unterstützung kritische Lücken ausnutzen. Die Security-Community diskutiert intensiv, wie mit dieser neuen Realität umzugehen ist – ob durch Einschränkungen bei KI-Tools, verbesserte Responsible-Disclosure-Prozesse oder schlicht durch schnellere Patch-Zyklen bei Betriebssystem-Entwicklern.
Für FreeBSD-Administratoren gilt jedenfalls: Sofortiger Handlungsbedarf. Systeme mit exponierten RPC-Diensten sollten umgehend gepatcht oder abgesichert werden, bevor der nun öffentlich dokumentierte Exploit in freier Wildbahn ausgenutzt wird.
Quellen: Hacker News