Kritičan TCP propust u Linux kernelu čeka zakrpe za Ubuntu i RHEL
Ranjivost CVE-2026-98432 u TCP kodu Linux kernela dobila je ocenu 9,8 od 10 od tima za CVE evidenciju kernela i pogađa Ubuntu, Red Hat Enterprise Linux, kao i druge distribucije. Na dan 29. oktobra Ubuntu i RHEL nisu objavili ispravljeni kernel, dok su Debian, Oracle Linux, pojedina izdanja SUSE-a i određeni paketi Amazon Linuxa već dobili ažuriranja.
Propust je use-after-free greška, odnosno stanje u kojem kernel može da pristupi memoriji koja je već oslobođena. Nastaje u trci tokom uspostavljanja nove IPv4 TCP veze. Greška je uvedena u Linux 4.4, a razvojni tim je ispravku primenio 5. oktobra.
Kako nastaje problem u TCP obradi
Kada se veza dovrši, kernel prenosi IP opcije sa zahteva na novi soket bez kopiranja. Ako se soket uništi dok drugi procesor još koristi te opcije da odgovori na ponovljeni zahtev za povezivanje, može doći do čitanja oslobođene memorije. IPv6 nije pogođen istom trkom, jer se njegove opcije kopiraju.
Ispravka odlaže oslobađanje memorije dok ostali procesori ne završe čitanje opcija. Dostupna je u stabilnim granama 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 i 7.3, a korisnici prilagođenih kernela treba da prate najnoviju stabilnu verziju umesto da izdvajaju pojedinačnu izmenu.
Različite ocene i stanje paketa
Linux CVE tim računa da napadač može da podstakne obe strane trke slanjem TCP zahteva sa IPv4 opcijama Record Route ili Timestamp, a zatim ponavljanjem zahteva. Zato je složenost napada ocenjena kao niska. Red Hat procenjuje da je trku teško dobiti i na CVE stranici navodi 5,9, dok njegov savetodavni zapis, kao i Oracle i SUSE, navodi 8,1. Amazon Linux koristi ocenu 7,0.
Debian je objavio pakete linux 6.12.113-1 za trixie i 6.1.190-1 za Debian 12. Oracle Linux je objavio savete ELSA-2026-500397, ELSA-2026-500398 i ELSA-2026-500399. Za Amazon Linux 2023 dostupni su kernel6.18-6.18.56-125.164.amzn2023 i, za paket kernel6.12, verzija 6.12.113-138.209.amzn2023, dok za druge grane status ostaje različit.
Eksploatacija i operativni koraci
Anthropic je 27. oktobra objavio da je njegov model Claude napisao eksploataciju koja na serveru sa MPTCP osluškivačem omogućava udaljeno izvršavanje komandi sa root ovlašćenjima. Prema opisu, eksploatacija najpre pribavlja adresu iz memorije kernela i zaobilazi KASLR, a zatim koristi prelivanje bafera i prepisivanje pokazivača povratnog poziva. U testu je otkrivanje adrese trajalo 48 minuta, a izvršavanje komande dodatnih pet minuta.
Objava ne navodi kod eksploatacije, testiranu verziju kernela ni konfiguraciju, niti potvrđuje da se preuzimanje servera može ponoviti bez MPTCP osluškivača. Do 29. oktobra nijedan savet dobavljača, CVE zapis niti Anthropic nije prijavio napade koji koriste propust. Rizik se uklapa i u obrazac koji ažuran kernel utiče na izolaciju host sistema pokazuje koliko ažuran kernel utiče na granicu između izolovanog radnog opterećenja i host sistema.
Za poslovne timove prioritet je inventar pogođenih verzija, provera da li dobavljač već isporučuje ispravljeni paket i planirano instaliranje ažuriranja. Za Ubuntu, RHEL, određena izdanja Amazon Linuxa i SUSE-a bez paketa treba pratiti status proizvođača, jer objavljeni saveti ne navode potvrđenu, opšte primenljivu zamenu za nadogradnju kernela.