CVE-2026-98432 е уязвимост тип use-after-free при обработката на IPv4 TCP request socket-ите в Linux kernel. Уязвимостта беше публикувана на 15 октомври и има оценка 9.8 по CVSS 3.1. Записът за CVE описва race condition, свързано с TCP SYN пакети с IPv4 опции и повторно предаване, както и път за миграция на request socket при определени конфигурации. При уязвимия сценарий request socket може да бъде освободен, преди читателите, защитени с RCU, да са приключили работата си с него.
Бъгът е в IPv4 TCP, а не в самия Multipath TCP (MPTCP). Тази разлика има значение. Anthropic съобщава, че техният proof of concept е постигнал отдалечен достъп с root права до Linux сървър с MPTCP listener чрез многоетапен експлойт. В доклада им се посочват около 48 минути за изтичане на kernel pointer, последвани от приблизително 5 минути до изпълнение на команди. Това са резултати от демонстрация на изследователи, а не доказателство, че всеки уязвим хост може да бъде експлоатиран отдалечено по същия начин.
Към 1 ноември няма потвърдени съобщения за експлоатация в реални атаки. Публичната информация потвърждава сериозна уязвимост и демонстриран път за експлоатация, но не и активна престъпна експлоатация.
Какво засяга уязвимостта
CVE посочва, че upstream Linux kernel версиите от 4.4 нататък са засегнати до инсталирането на корекцията. Upstream поправката променя съответните операции по освобождаване на паметта така, че да изчакват RCU grace period. Така concurrent readers приключват работата си, преди request socket да бъде освободен. Корекцията е включена upstream на 5 октомври.
Корекции са посочени за upstream stable клонове, сред които 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 и 7.3. Дистрибуциите може да backport-нат поправката, без да използват точно тези версии, затова провери advisory-то на доставчика и ревизията на пакета, вместо да разчиташ само на привидната основна версия на kernel-а.
MPTCP има значение за демонстрирания сценарий на експлоатация. Go Security Team посочва, че Go 1.24 и по-новите версии активират MPTCP по подразбиране за Linux listen socket-и. Това може да създаде MPTCP listener, дори когато операторът не го е конфигурирал изрично. В advisory-то на Go е описана настройката GODEBUG=multipathtcp=0 като начин за изключване на това поведение по подразбиране. Това обаче е частична мярка за демонстрирания път, а не корекция на kernel-а. Основният дефект е в обработката на IPv4 TCP и изключването на MPTCP не го поправя.
Какво да провериш в системите си
- Направи инвентаризация на Linux хостовете, които приемат входящи IPv4 TCP връзки, включително уеб сървъри, VPN крайни точки, cloud workloads и application server-и.
- Провери advisory-то на Linux дистрибуцията си за CVE-2026-98432. Увери се дали фиксираният пакет е наличен и дали е необходимо рестартиране.
- За Go услуги на Linux провери дали listener-ите използват MPTCP по подразбиране. Ако временно използваш GODEBUG=multipathtcp=0, за да намалиш излагането на риск, проследи тази промяна и премахни настройката, след като kernel update-ът бъде инсталиран и проверен.
- Дай приоритет на хостовете, достъпни от интернет, и на критичните за бизнеса системи, след което потвърди коя версия на kernel-а работи след инсталирането на корекцията.
Практическата сериозност зависи от компилацията и конфигурацията на kernel-а, но уязвимост с CVSS 9.8 и демонстриран път до отдалечен достъп с root права изисква бърза проверка. Липсата на потвърдена експлоатация в реални атаки е добра новина, но не е причина да оставиш засегнатите системи непроверени.
Ако не си сигурен кои Linux машини са изложени на риск или дали е инсталиран backport от доставчика, започни с проверена инвентаризация и проверка на корекциите.
Заяви проверка на готовността за Linux корекции
Ще помогнем да определиш кои системи трябва да провериш, без ангажимент за промени.
Източници: записът за CVE, upstream корекцията за Linux, изследването на Anthropic, advisory-то на Go Security Team и BleepingComputer.