Cercetătorii Anthropic au dezvoltat un exploit pentru o vulnerabilitate critică din nucleul Linux, care poate permite unui atacator neautentificat să execute comenzi de la distanță cu privilegii root pe servere ce acceptă conexiuni Multipath TCP. Problema, identificată drept CVE-2026-98432, afectează și conexiunile TCP obișnuite, deși execuția de cod de la distanță nu a fost demonstrată public pe servere fără un listener MPTCP.
O cursă între procese, la nivelul stivei TCP
CVE-2026-98432 este o vulnerabilitate de tip use-after-free în codul de rețea IPv4 TCP al nucleului Linux. Echipa Linux responsabilă de evaluarea CVE i-a acordat un scor de severitate de 9,8 din 10, iar vulnerabilitatea afectează nuclee începând cu versiunea 4.4, inclusiv versiuni folosite de Ubuntu, Red Hat Enterprise Linux (RHEL) și Rocky Linux.
Potrivit avizului de securitate al nucleului, cauza este o condiție de cursă în gestionarea cererilor de conexiune TCP. Funcția tcp_v4_syn_recv_sock() transferă către socketul copil (newinet->inet_opt) proprietatea asupra ireq->ireq_opt, fără să copieze datele; între timp, un alt procesor poate trata o retransmisie SYN pentru aceeași cerere și poate trimite un SYNACK din tcp_check_req().
În acest scenariu, tcp_v4_send_synack() și inet_csk_route_req() citesc ireq->ireq_opt sub rcu_read_lock(), iar ip_build_and_send_pkt() și ip_options_build() citesc de două ori valoarea opt->optlen. Accesul concurent la date după transferul proprietății poate lăsa nucleul să folosească memorie eliberată, mecanismul din spatele vulnerabilității.
O problemă similară poate apărea în timpul migrării unui socket de cerere TCP, dacă este activat parametrul net.ipv4.tcp_migrate_req sau dacă se folosește un program BPF_SK_REUSEPORT_SELECT_OR_MIGRATE. Așadar, riscul nu se limitează la un singur traseu de procesare a cererilor de conexiune.
Sursă foto: AI
De la posibilă blocare a serverului la execuție root
Deși vulnerabilitatea nu cere autentificare, exploatarea condiției de cursă este mai complicată decât trimiterea unui pachet malițios, avertizează Red Hat. Compania clasifică problema drept un posibil atac de tip denial-of-service, care ar putea provoca blocarea nucleului, și îi acordă un scor mai redus, de 5,9, invocând complexitatea exploatării.
Cercetătorii Anthropic au arătat însă că impactul poate depăși refuzul serviciului, în anumite condiții. Potrivit raportului lor, un model Claude care nu a fost lansat public a creat un exploit capabil să ocolească KASLR — mecanismul de randomizare a adreselor din memoria nucleului — și să execute comenzi arbitrare cu privilegii root pe un server Linux cu listener MPTCP.
Anthropic spune că obținerea execuției de cod de la distanță cu privilegii root a durat aproximativ 53 de minute. Demonstrația arată că vulnerabilitatea poate fi exploatată dincolo de scenariul de blocare descris de Red Hat, dar nu înseamnă că există deja atacuri confirmate în mediul real.
Multipath TCP permite unei singure conexiuni să folosească simultan mai multe căi de rețea, pentru a îmbunătăți performanța și fiabilitatea. Este util, de exemplu, pe dispozitive conectate prin Wi-Fi și rețea celulară, însă poate fi activat automat de unele programe chiar dacă administratorul nu l-a configurat explicit.
Un caz important este Go: începând cu versiunea 1.24, limbajul activează implicit MPTCP pentru listener-ele TCP pe Linux, dacă nucleul oferă suport pentru această funcție. În consecință, unele servicii de rețea scrise în Go ar putea accepta conexiuni MPTCP fără ca administratorii să știe că funcționalitatea este activă.
Actualizările au ajuns în nucleul principal, dar nu peste tot
Vulnerabilitatea a fost remediată în nucleul Linux din amonte, iar corecția a fost transferată și în ramurile de nucleu menținute. Totuși, actualizările nu au fost publicate încă pentru toate distribuțiile afectate, astfel că administratorii trebuie să urmărească avizele furnizorilor și să instaleze pachetele corectate imediat ce devin disponibile.
La 30 octombrie, trackerul de securitate Canonical indica drept vulnerabile Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS și 26.10, cu remedierile încă în lucru. Red Hat lista RHEL 8, 9 și 10 ca afectate, cu actualizări planificate; RHEL 7 nu este afectat, deoarece nucleul său nu conține codul vulnerabil.
Furnizorul de suport Rocky Linux, CIQ, a confirmat că sunt afectate Rocky Linux 8, 9 și 10 și a publicat măsuri temporare de protecție prin firewall. În Debian, pachetul de nucleu 6.1.190-1 remediază problema în Debian 12 (Bookworm), iar versiunea 6.12.113-1 o corectează în Debian 13 (Trixie); pachete remediate sunt disponibile și pentru ramurile testing și unstable.
Oracle Linux, Amazon Linux și SUSE au publicat, de asemenea, remedieri pentru unele versiuni de nucleu afectate. Vulnerabilitatea nu se aplică sistemelor macOS, care folosesc nucleul XNU dezvoltat de Apple, nu nucleul Linux.
MPTCP dezactivat nu înseamnă risc eliminat
Până la instalarea unei corecții, administratorii pot reduce expunerea limitând accesul la rețele sau adrese IP de încredere. CIQ recomandă și blocarea temporară, înainte ca acestea să ajungă la codul vulnerabil de procesare TCP, a pachetelor IPv4 TCP care conțin opțiuni IP; compania a oferit exemple de reguli nftables pentru acest tip de filtrare.
Dezactivarea MPTCP, luată singură, nu este o măsură suficientă: vulnerabilitatea poate fi declanșată și prin trafic TCP obișnuit. Administratorii ar trebui, prin urmare, să verifice atât versiunile nucleului și avizele distribuției, cât și serviciile care pot activa MPTCP implicit, inclusiv aplicațiile bazate pe Go 1.24 sau versiuni ulterioare.
Până în prezent, nu există raportări confirmate că CVE-2026-98432 ar fi fost exploatată în atacuri reale. Absența unor astfel de raportări nu schimbă însă gravitatea demonstrată a problemei, mai ales pe serverele accesibile din internet și configurate cu listener-e MPTCP.
