Уязвимость в TCP-стеке ядра Linux с оценкой 9,8: Ubuntu и RHEL пока без исправлений

В коде ядра Linux, отвечающем за TCP, обнаружена уязвимость CVE-2026-98432. Она затрагивает Ubuntu, Red Hat Enterprise Linux и другие дистрибутивы. CVE-команда самого ядра оценила её в 9,8 балла из 10 по шкале CVSS.

27 октября Anthropic сообщила, что её ИИ-модель Claude написала эксплойт для этой ошибки. Эксплойт позволяет удалённому атакующему без учётных данных выполнять команды от имени root на серверах, где запущен слушающий сокет multipath TCP (MPTCP).

Суть ошибки

Речь идёт о состоянии гонки в коде, который устанавливает новые TCP-соединения по IPv4. Когда рукопожатие завершается, ядро передаёт новому сокету IP-опции, сохранённые в ожидающем запросе, но не копирует их. Если сокет уничтожается в тот момент, когда другой процессор ещё использует эти опции для ответа на повторный запрос, ядро читает уже освобождённую память. Такой класс ошибок называют use-after-free.

IPv6 гонке не подвержен: для таких соединений ядро опции копирует. Ошибка появилась в Linux 4.4. Исправление приняли 5 октября, за десять дней до публикации CVE. Теперь ядро освобождает опции только после того, как другие процессоры закончат их читать. Автором отчёта указан исследователь Anthropic Синьян Гэ. Ни в записи CVE, ни в патче MPTCP не упоминается: связь с этой функцией следует только из публикации Anthropic.

Почему оценки расходятся

Оценку 9,8 команда ядра добавила 24 октября. Она исходит из сценария, в котором атакующий отправляет запрос с IPv4-опциями Record Route или Timestamp и повторяет его, пытаясь выиграть гонку. Сложность атаки команда признала низкой.

У вендоров мнения разошлись. На странице CVE у Red Hat указан уровень Moderate и 5,9 балла: гонку трудно выиграть, а наиболее вероятный итог — падение ядра. При этом в машиночитаемом бюллетене Red Hat от 29 октября значатся уровень Important и 8,1 балла. Oracle и SUSE также дают 8,1, расходясь с командой ядра только в оценке сложности атаки. Amazon оценивает уязвимость в 7,0.

Что построил Claude

По словам Anthropic, Claude написал эксплойт после «начальных подсказок». Атака проходит в два этапа. Сначала гонка заставляет ядро отправлять атакующему лишние байты. Как только среди них попадается адрес ядра, становится возможным обойти KASLR. Затем та же ошибка переполняет буфер и подменяет указатель обратного вызова адресом заранее размещённой полезной нагрузки. Та выполняет произвольную команду от имени root.

Проигранная гонка лишь срывает одну попытку соединения и не роняет систему. В тесте Anthropic на утечку адреса ушло 48 минут, ещё пять — на выполнение команды. Код эксплойта, версию ядра и конфигурацию компания не раскрыла. Неясно также, уязвимы ли таким же образом серверы без MPTCP.

Статус исправлений

Debian, Oracle Linux, SUSE и Amazon Linux уже выпустили исправленные пакеты, по крайней мере для части своих ядер. У Ubuntu и RHEL на 29 октября исправленных ядер нет. Red Hat пишет, что исправления «отложены до будущего обновления», сроков не называет ни она, ни Canonical. RHEL 7 уязвимость не затрагивает. Для собственных сборок исправление вошло в ядра 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 и 7.3.

Приемлемых мер смягчения, по оценке Red Hat, нет. Сообщений об атаках с использованием этой уязвимости пока не поступало, в каталоге CISA KEV она не значится.

Источник: The Hacker News