Уразливість ядра Linux дає змогу віддалено отримати root-доступ на серверах з MPTCP
Дослідники з Anthropic створили експлойт для критичної вразливості CVE-2026-98432 в ядрі Linux, яка отримала оцінку 9,8 з 10.
Дослідники з компанії Anthropic виявили критичну вразливість в ядрі Linux. Вона дозволяє неавтентифікованим зловмисникам віддалено виконувати команди з правами root на серверах, що використовують Multipath TCP (MPTCP). Уразливість CVE-2026-98432 отримала оцінку серйозності 9,8 з 10 від команди Linux kernel CVE, повідомляє BleepingComputer.
Проблема полягає в стані гонитви під час обробки TCP-запитів на з'єднання, що призводить до використання пам'яті після її звільнення. Уразливість є в ядрах Linux, починаючи з версії 4.4. Вона зачіпає такі популярні дистрибутиви, як Ubuntu, Red Hat Enterprise Linux (RHEL) та Rocky Linux. Red Hat класифікує її як потенційну відмову в обслуговуванні з нижчою оцінкою 5,9 через складність експлуатації. Водночас Anthropic продемонструвала можливість віддаленого виконання коду.
Згідно зі звітом Anthropic, нерозкрита модель Claude AI розробила експлойт. Він обійшов рандомізацію адресного простору ядра (KASLR) і виконав довільні команди з правами root на сервері Linux з активним MPTCP-слухачем. Щоб досягти віддаленого виконання коду, знадобилося близько 53 хвилин. MPTCP зазвичай не ввімкнено за замовчуванням. Однак у мові програмування Go, починаючи з версії 1.24, цю функцію активовано для TCP-слухачів на Linux автоматично, якщо ядро її підтримує.
Виправлення вже внесли до основної гілки ядра Linux та зворотно перенесли до підтримуваних гілок. Однак оновлення безпеки дісталися ще не всіх дистрибутивів. За даними трекера безпеки Canonical, Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS та 26.10 залишаються вразливими на 30 жовтня. Red Hat також вказує RHEL 8, 9 і 10 як уражені, а RHEL 7 не містить вразливого коду. Debian випустив виправлення для версій 12 (Bookworm) та 13 (Trixie).
Адміністраторам радять перевірити рекомендації з безпеки своїх дистрибутивів і встановити оновлені пакунки ядра, щойно вони стануть доступними. Для систем, де патчів ще немає, CIQ рекомендує тимчасово блокувати IPv4 TCP-пакети з IP-опціями правилами nftables. Компанія застерігає, що самого вимкнення MPTCP недостатньо, оскільки вразливість активується через звичайний TCP-трафік. Підтверджених випадків експлуатації CVE-2026-98432 у реальних атаках поки що немає.
Джерела
- BleepingComputer: Critical Linux kernel flaw allows remote root attacks on MPTCP servers
Фото: Schäferle, Pixabay (Pixabay Content License)