Red Hat ispravio kritični propust u Linux IPv4 TCP kodu
Red Hat je 1. novembra objavio ispravljene kernele za RHEL 8, 9 i 10 zbog propusta CVE-2026-98432 u IPv4 TCP kodu Linux kernela, ocenjenog sa 9,8 od 10 po CVSS-u. Canonical je dan kasnije objavio da su zakrpe za Ubuntu 22.04 LTS, 24.04 LTS i 26.04 LTS dostupne u opcionom kanalu -proposed, ali ne i u redovnom kanalu ažuriranja.
Greška je use-after-free ranjivost: udaljeni napadač bez prijave može da joj pristupi preko bilo kog TCP porta koji sluša i potencijalno ostvari izvršavanje koda na daljinu. Linux kernel CVE tim ocenio ju je sa 9,8, dok je Red Hat prvobitnu ocenu 5,9 podigao na kritični nivo.
Kako nastaje ranjivost
Pri prihvatanju IPv4 TCP veze, kernel prosleđuje IP opcije iz dolaznog zahteva novom soketu bez kopiranja. Ako klijent ponovi zahtev za povezivanje dok drugi procesor još čita te opcije, kernel može pristupiti memoriji koja je već oslobođena.
Okidač su zahtevi za povezivanje sa IPv4 opcijama Record Route ili Timestamp. Glavna putanja za IPv6 nije pogođena. Propust postoji od Linuxa 4.4, a uzvodna ispravka je prihvaćena u oktobru.
Stanje zakrpa po distribucijama
Za RHEL 8.10 dostupan je kernel 4.18.0-553.182.1.el8_10 kroz RHSA-2026:93414, za RHEL 9.8 kernel 5.14.0-687.64.1.el9_8 kroz RHSA-2026:93412, a za RHEL 10.2 kernel 6.12.0-211.72.1.el10_2 kroz RHSA-2026:93413. Nakon instalacije je potrebno ponovno pokrenuti sistem.
Ubuntu je za Jammy, Noble i Resolute objavio verzije 5.15.0-203.213, 6.8.0-149.149 i 7.0.0-43.43 u kanalu -proposed. Ti paketi se ne instaliraju automatski. Canonical ih proverava na više od 2.000 sertifikovanih servera i uređaja pre redovne objave, bez navedenog datuma prelaska u standardni kanal. Za Ubuntu 20.04, 18.04 i 16.04 zakrpe još nema.
Privremene mere nisu zamena za ažuriranje
Red Hat je objavio nftables pravilo koje odbacuje dolazne IPv4 TCP pakete sa IP opcijama. Ono blokira poznati okidač, ali ne sprečava potpuno iskorišćavanje propusta i može poremetiti radna opterećenja koja zavise od IPv4 opcija. Pravilo važi samo na hostu na kom je postavljeno, pa ga saobraćaj između kontejnera na istom hostu može zaobići.
Isključivanje MPTCP-a samo po sebi nije dovoljno, jer je propust u IPv4 TCP putanji, a ne u MPTCP-u. Operativni rizik dodatno osvetljava i granice između kontejnera i hosta pokazuje da granice između kontejnera i hosta zahtevaju dosledno ažuriranje kernela.
Nisu prijavljeni napadi u stvarnom okruženju, niti se CVE-2026-98432 nalazio u CISA katalogu poznatih iskorišćenih ranjivosti pri objavi od 30. oktobra. Anthropic je ipak naveo da je interni, neobjavljeni Claude istraživački model napravio udaljeni root eksploat za Linux servere sa MPTCP slušačem, bez kredencijala i interakcije korisnika.
Za poslovne timove prioritet je da provere rezultat komande uname -r, uporede ga sa ispravljenom verzijom za svoju distribuciju, instaliraju dostupni kernel i isplaniraju restart. Privremeno filtriranje može smanjiti izloženost, ali bezbednosno ažuriranje ostaje jedina potpuna mera koju Canonical preporučuje.