Pełnomocnik ds. cyberbezpieczeństwa
Szukaj

Podatność CVE-2026-98432 w kodzie TCP jądra Linuksa ma ocenę 9.8, a RHEL i Ubuntu nie mają jeszcze poprawki

Rodzaj
Streszczenie
Data
Kategoria
Aktualności
Redakcja
Paweł Rosół
Źródło
The Hacker News ()

Wyścig przy zestawianiu połączeń TCP po IPv4 prowadzi do użycia zwolnionej pamięci jądra. Anthropic twierdzi, że jego model napisał na tej podstawie zdalny exploit z uprawnieniami roota. Debian, Oracle, SUSE i Amazon wydały już poprawione jądra.

Zespół CVECVE Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń. jądra Linuksa opublikował 15 października 2026 r. podatnośćPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-98432 w kodzie zestawiającym połączenia TCP po IPv4. Gdy połączenie się domyka, jądro przekazuje nowemu gniazdu opcje IP zapisane przy oczekującym żądaniu, nie kopiując ich. Jeśli inny procesor w tym czasie odpowiada na powtórzone żądanie, a gniazdo zostanie zwolnione, jądro sięga do zwolnionej pamięci (use-after-free). Błąd pochodzi z Linuksa 4.4, zgłosił go Xinyang Ge z Anthropic. 24 października dopisano do rekordu ocenę 9.8 w CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. 3.1: atak przez sieć, bez uwierzytelnienia i udziału użytkownika.

Anthropic podał 27 października, że jego model Claude po wstępnych instrukcjach napisał exploit, który pozwala zdalnemu atakującemu bez poświadczeń wykonywać polecenia jako root na serwerach Linux nasłuchujących przez multipath TCP (MPTCP). W teście ujawnienie adresu jądra zajęło 48 minut, a wykonanie polecenia kolejne pięć, bo przegrany wyścig nie zawiesza systemu i można próbować dalej. The Hacker News zauważa, że ani rekord CVE, ani poprawka nie wspominają o MPTCP, a Anthropic nie podał kodu, wersji jądra ani konfiguracji. Do 29 października żadne ze źródeł nie zgłosiło ataków, a katalogu KEVKatalog KEV Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności. agencji CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. podatności nie ma.

Dystrybucje oceniają błąd różnie. Red Hat na stronie CVE podaje 8.1, z wysoką złożonością ataku, choć w swoich danych bezpieczeństwa wciąż pisze o 5.9 i za praktycznie najgorszy skutek uważa awarię jądra. Oracle i SUSE dają 8.1, Amazon 7.0, a Ubuntu pokazuje 9.8 i nadaje priorytet High.

Poprawka jest w wydaniach stabilnych 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 i 7.3. Debian wydał ją dla bookworm (6.1.190-1) i trixie (6.12.113-1), Oracle 16 października dla jąder UEK w Oracle Linux od 7 do 10, SUSE 29 października dla części swoich wydań, a Amazon dla kernel6.18 i kernel6.12 w Amazon Linux 2023. Red Hat odłożył poprawki dla RHEL 8, 9 i 10 oraz OpenShift 4 na przyszłą aktualizację, a Ubuntu oznacza między innymi 22.04, 24.04 i 26.04 LTS jako podatne, z poprawką w przygotowaniu. Ani Red Hat, ani Ubuntu nie podają daty wydania.

Jeśli masz serwery z Linuksem przyjmujące połączenia TCP z sieci, sprawdź status CVE-2026-98432 u dystrybutora, a gdzie jest już poprawione jądro, zainstaluj je i uruchom serwer ponownie. Według Red Hata żadne dostępne obejście nie spełnia jego kryteriów wdrożenia i stabilności. Ani dostawcy, ani Anthropic nie piszą, czy wyłączenie MPTCP albo blokowanie żądań z opcjami IP zmniejsza ryzyko.

Źródła

Pojęcia w tym tekście (5)
CVE
Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń.
Podatność
Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
CVSS
Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
Katalog KEV
Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności.
CISA
Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych ; tekst sprawdził i zatwierdził autor przed publikacją.