Linux Kernel отримав критичну вразливість із CVSS 9.8 у коді TCP

У коді протоколу TCP в ядрі Linux виявлено вразливість, що відстежується як CVE-2026-98432. Вона зачіпає Ubuntu, Red Hat Enterprise Linux (RHEL) та інші дистрибутиви. Команда CVE ядра оцінила небезпеку вади у 9.8 бала з 10 за шкалою CVSS.

Компанія Anthropic заявила, що її модель штучного інтелекту Claude написала робочий експлойт для цієї вразливості: він дозволяє віддаленому зловмиснику без облікових даних виконувати команди з правами root на Linux-серверах, де запущено multipath TCP (MPTCP) listener.

Механіка вразливості

Проблема є станом гонитви (race condition) у коді, що обробляє нові зʼєднання IPv4 TCP, та призводить до читання вже звільненої памʼяті (use-after-free). Баг зʼявився ще у версії Linux 4.4.

Гонитва виникає під час TCP-рукостискання. Після завершення зʼєднання ядро передає IP-опції з очікуваного запиту до нового сокета без їхнього копіювання. Якщо цей сокет знищується в момент, коли інший процесор використовує ті самі опції для відповіді на повторний запит на підключення, ядро зчитує звільнену памʼять. Трафік IPv6 не постраждав, оскільки для нього ядро копіює параметри.

Розробники ядра застосували виправлення 5 жовтня: тепер ядро очікує завершення читання опцій іншими CPU перед тим, як звільнити памʼять. У фіксі автором звіту про баг зазначено дослідника Anthropic Сіньяна Ге (Xinyang Ge).

Експлойт від Anthropic

За даними Anthropic, експлойт, створений ШІ-моделлю Claude, працює у два етапи:

1. Через стан гонитви ядро надсилає атакуючому додаткові байти. Отримання адреси памʼяті ядра дозволяє обійти механізм рандомізації KASLR (у тестах це зайняло 48 хвилин).
2. Завдяки цій же помилці переповнюється буфер і перезаписується вказівник зворотного виклику (callback pointer) адресою корисного навантаження в памʼяті ядра. Коли ядро звертається до цього вказівника, виконується довільна shell-команда від імені root (на це знадобилося ще 5 хвилин).

Невдала спроба гонитви призводить лише до скидання поточного підключення і не зупиняє систему збоєм, що дозволяє повторювати атаки. Експлойт тестувався на серверах із multipath TCP listener. У звіті не уточнюється, чи вразливі сервери без MPTCP до захоплення контролю аналогічним чином.

Розбіжності в оцінках вендорів

Команда CVE ядра оцінила вразливість у 9.8 бала, вважаючи складність атаки низькою, оскільки обидві сторони гонитви ініціюються нападником через надсилання запитів з опціями IPv4 Record Route або Timestamp.

Інші вендори знизили оцінку через високу, на їхню думку, складність реалізації атаки:

• Oracle та SUSE: 8.1 бала.
• Red Hat: спершу оцінила в 5.9 (Moderate), але згодом оновила машинний файл рекомендацій до 8.1 (Important).
• Amazon: 7.0 бала.

Станом на 29 жовтня підтверджених випадків реальних атак із використанням цієї вразливості не зафіксовано.

Стан виправлень у дистрибутивах

У ванільному ядрі патчі вже бекпортовано до всіх стабільних гілок: Linux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 та 7.3. Для звичайних користувачів оновлення залежать від вендорів:

• Отримали патчі: Debian (пакунки linux 6.12.113-1 та 6.1.190-1), Oracle Linux (пакети UEK з 16 жовтня), SUSE Linux Micro 6.2 / openSUSE Leap 16.0, окремі ядра Amazon Linux 2023.
• Не мають виправлень: Ubuntu (статус «work in progress» для 22.04, 24.04, 26.04, 26.10, а також хмарних і FIPS-ядер) та RHEL версій 8, 9 і 10 (Red Hat відклала випуск виправлення на наступні оновлення).

Тимчасових способів помʼякшення (mitigations), які б відповідали критеріям стабільності та простоти розгортання, Red Hat не надала.