Root-jogot adhat távolról egy Linux-hiba, de a támadási út vitatott

A CVE-2026-98432 azonosítójú sérülékenységet az Anthropic október 27-én hozta nyilvánosságra. A Linux-kernel IPv4-es hálózati részében található; az IPv6-ot a beszámoló szerint nem érinti.

Az Aikido Security szerint érintett lehet minden olyan, 4.4-es vagy újabb kernelt futtató Linux-gép, amelyen a támadó számára elérhető IPv4-es TCP-port működik. A Red Hat a bejövő TCP-kapcsolatokat fogadó rendszereket tartja a legközvetlenebbül kitettnek.

A Red Hat november 2-án 8,8-ról 9,8-ra emelte a hiba CVSS-pontszámát. Ez a műszaki súlyosságot jelzi egy 0-tól 10-ig terjedő skálán, önmagában nem azt, hogy visszaéltek-e a hibával. Közvetlenül érintettnek nevezte a Red Hat Enterprise Linux 8, 9 és 10 kiadását, valamint az OpenShift Container Platformot.

Az Anthropic olyan működő támadási módszert készített, amely bizonyos feltételek mellett egy MPTCP-kapcsolatokat fogadó Linux-szerveren távolról root-jogot adhat. A módszer egy időzítéstől függő hibát használ ki, és a fejlesztői szerint felhasználónév, jelszó vagy felhasználói közreműködés sem szükséges hozzá.

A Red Hat ugyanakkor arra figyelmeztet, hogy maga a sérülékenység nem függ az MPTCP használatától: a kikapcsolt MPTCP-vel, alapbeállításokkal futó gépek is érintettek maradnak. Ezt fontos különválasztani az Anthropic által bemutatott támadási módszer feltételeitől.

Marcus Hutchins biztonsági kutató szerint egyes kernelekben, köztük Debian-kernelekben, az MPTCP alapértelmezetten engedélyezett. A Go 1.24 és újabb kiadásai is létrehoznak MPTCP-kapcsolatokat fogadó végpontokat, ha a lehetőség a kernelben be van kapcsolva. A kutató példaként a Go-alapú Caddy alkalmazást említette.

Hutchins szerint a net.mptcp.enabled=0 beállítás kikapcsolja az MPTCP-t, de a már létrehozott socketekre nem hat. Az ilyen végpontot megnyitó alkalmazásokat ezért újra kell indítani. A Red Hat figyelmeztetése alapján ez a lépés önmagában nem szünteti meg a hiba érintettségét.

Hutchins november 2-án arról számolt be, hogy csapata lakossági proxykról és VPN-ekről érkező kereséseket látott a 443-as porton, MPTCP-kapcsolatokkal. A kutató szerint erősen gyanítható, hogy ezek a CVE-2026-98432 miatt kitett rendszereket keresik. Ez nem azonos a sérülékenység bizonyított kihasználásával: a beszámoló szerint azt akkor még nem használták ki éles környezetben.

A kutató előzetes, internetes felmérésében körülbelül 2 102 043 szerver volt elérhető MPTCP-kapcsolattal a 443-as porton. Egy mélyebb vizsgálat körülbelül 762 774 rendszernél tudott teljes TLS-kapcsolatot létrehozni bekapcsolt MPTCP-vel. Hutchins hangsúlyozta: egyik mérés sem tudta megállapítani, hogy a gépeken javítatlan kernel fut-e.

Az Ubuntu november 2-án közölte, hogy az Ubuntu 22.04 LTS és újabb kiadások javításait teszteli. A közlés szerint a csomagokat a tesztek befejezése után teszik elérhetővé az Ubuntu frissítési tárolójában.

Az AWS a webalkalmazás-tűzfalai és a terheléselosztói mögötti infrastruktúrát frissíti. A cég szerint ezek a bevált gyakorlatok követése mellett nem fogadnak közvetlenül TCP-kapcsolatokat nem megbízható forrásokból.

Az AWS az ECS on EC2 használóinak azt javasolja, hogy frissítsék a kernelüket és indítsák újra a konténerpéldányokat, vagy cseréljék le őket a legújabb ECS-re optimalizált AMI-ból indított példányokra.