Firmaen Anthropic har afsl\u00f8ret en kritisk s\u00e5rbarhed (CVE-2026-98432) i TCP-stakken i Linux-kernen, som muligg\u00f8r fjernudf\u00f8relse af kode gennem sending af specielt formaterede pakker. Der er rapporteret om oprettelsen af en fungerende exploit, der giver mulighed for at udf\u00f8re kode p\u00e5 kerneniveau og fjernadgang til root-rettigheder i systemet. Den forberedte exploit er egnet til angreb p\u00e5 systemer med serverprocesser, der accepterer forbindelser gennem netv\u00e6rkssokler, der underst\u00f8tter brugen af MPTCP-protokollen (Multipath TCP). Underst\u00f8ttelse af MPTCP kan aktiveres i bindningen til de enkelte netv\u00e6rkssokler, hvilket g\u00f8res som standard i standardbiblioteket for Go-sprog, der starter fra version Go 1.24 (februar 2025). <\/p>\n
Den forberedte exploit kan anvendes med enhver serverapplikation skrevet i Go, herunder HTTP-serveren Caddy, n\u00e5r der er mulighed for at sende netv\u00e6rkspakker til den lytteboks, som de opretter. Da s\u00e5rbarheden er til stede direkte i IPv4-stakken og ikke er specifik for MPTCP, kan der ikke udelukkes oprettelse af exploits, der fungerer uden tilknytning til MPTCP, men s\u00e5danne exploits er endnu ikke blevet demonstreret. For eksempel kan s\u00e5rbarheden udnyttes ved behandling af foresp\u00f8rgsler om migrering af sokler, som er tilg\u00e6ngelig i konfigurationer med parameteren net.ipv4.tcp_migrate_req=1 eller ved brug af eBPF-programmer med indstillingen BPF_SK_REUSEPORT_SELECT_OR_MIGRATE.<\/p>\n
S\u00e5rbarheden skyldes en racebet\u00e6ndelse, der opst\u00e5r ved samtidig behandling af gentagne SYN-anmodninger under oprettelse af en TCP-forbindelse. Da funktionen tcp_v4_syn_recv_sock() overf\u00f8rer parametre fra strukturen ireq->ireq_opt til dattersocketen via reference i stedet for kopi, kan der under bestemte omst\u00e6ndigheder opst\u00e5 en situation, hvor hukommelsen til strukturerne inet_opt og ireq_opt allerede er frigivet, men de relaterede socketindstillinger forts\u00e6tter med at blive brugt (use-after-free). <\/p>\n
Fjernudnyttelse udf\u00f8res ved at sende en r\u00e6kke tidsynkroniserede netv\u00e6rksanmodninger. Den udviklede exploit kan ogs\u00e5 anvendes p\u00e5 kerner, der bruger adresserandomisering (KASLR), men at ramme vinduet for racebetingelsen tager en betydelig m\u00e6ngde tid og kr\u00e6ver et stort antal fors\u00f8g. Udnyttelsen lettes af det faktum, at et missede vindue for racebetingelsen kun f\u00f8rer til nulstilling af sessionen for forbindelsesoprettelsen (handshake) og ikke til kernens nedbrud, hvilket giver mulighed for uendeligt at forts\u00e6tte med fors\u00f8gene. I den udviklede prototype kr\u00e6vede angrebet cirka en time \u2014 48 minutter til at bestemme hukommelseslayoutet og yderligere 5 minutter til at organisere kodenudf\u00f8relse. <\/p>\n
Der er endnu ikke pr\u00e6senteret garantibaserede metoder til at omg\u00e5 s\u00e5rbarheden \u2014 den eneste p\u00e5lidelige l\u00f8sning er at installere en kerneopdatering. Problemet opst\u00e5r fra kernerne Linux 4.4 og er l\u00f8st i udgaverne 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 og 7.3. Status for udbedringen af s\u00e5rbarheder i distributionerne kan vurderes p\u00e5 disse sider: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch.
\nFedora. <\/p>\n
Af anbefalinger til modvirkning af specifikke udnyttelsesmetoder, der ikke blokerer s\u00e5rbarheden generelt, kan n\u00e6vnes at deaktivere underst\u00f8ttelse af MPTCP og s\u00e6tte sysctl-parameteren net.ipv4.tcp_migrate_req til v\u00e6rdien 0:<\/p>\n
sysctl -w net.mptcp.enabled=0
\n sysctl -w net.ipv4.tcp_migrate_req=0<\/p>\n
For at bestemme tilstedev\u00e6relsen af processer i systemet, der bruger sokler med
\nMPTCP, kan kommandoerne bruges:<\/p>\n
ip mptcp endpoint show
\n ip mptcp limits show<\/p>\n
For at deaktivere underst\u00f8ttelsen af MPTCP i programmer skrevet i Go, skal du bruge flaget 'multipathtcp=0', som kan s\u00e6ttes ved at indstille milj\u00f8variablen 'GODEBUG=multipathtcp=0'. For at deaktivere underst\u00f8ttelsen af MPTCP under bygningen kan du tilf\u00f8je 'godebug multipathtcp=0' til go.mod-modulfilerne. I applikationskoden kan MPTCP deaktiveres via funktionerne net.Dialer.SetMultipathTCP og net.ListenConfig.SetMultipathTCP.<\/p>\n
Udover det behandlede problem har selskabet Anthropic ogs\u00e5 annonceret en r\u00e6kke lokalt udnyttelige s\u00e5rbarheder i kernen af Linux, OpenBSD og FreeBSD, som muligg\u00f8r root-rettigheder i systemet og kan bryde ud af isolerede containere; s\u00e5rbarheder i Chrome og Safari, der f\u00f8rer til udf\u00f8relse af kode i systemet ved \u00e5bning af s\u00e6rligt udformede web-sider; en s\u00e5rbarhed i Windows-kernen, der f\u00f8rer til nedbrud; en s\u00e5rbarhed i Android-platformen, der muligg\u00f8r omg\u00e5else af sk\u00e6rml\u00e5sning og adgang til personlige oplysninger og fotos uden at l\u00e5se enheden op (angrebet blev demonstreret p\u00e5 Google Pixel 9 smartphone).<\/p>\n
S\u00e5rbarheden er bekr\u00e6ftet i mange officielle Docker-billeder, herunder billeder af couchbase, elasticsearch, flink, solr, storm osv. <\/p>\n