Das Unternehmen Anthropic hat Informationen \u00fcber eine kritische Sicherheitsanf\u00e4lligkeit (CVE-2026-98432) im TCP-Stack des Linux-Kernels ver\u00f6ffentlicht, die die Fernausf\u00fchrung von Code durch das Senden speziell gestalteter Pakete erm\u00f6glicht. Es wurde ein funktionierender Exploit erstellt, der es erm\u00f6glicht, Code auf Kernel-Ebene auszuf\u00fchren und sich remote root-Rechte im System zu verschaffen. Der vorbereitete Exploit ist f\u00fcr Angriffe auf Systeme geeignet, die Serverprozesse betreiben und Verbindungen \u00fcber Netzwerksockets akzeptieren, die das MPTCP-Protokoll (Multipath TCP) unterst\u00fctzen. Die Unterst\u00fctzung von MPTCP kann an einzelnen Netzwerksockets aktiviert werden, was standardm\u00e4\u00dfig in der Standardbibliothek der Programmiersprache Go ab Version Go 1.24 (Februar 2025) erfolgt. <\/p>\n
Der vorbereitete Exploit kann bei Verwendung beliebiger Serveranwendungen in der Programmiersprache Go angewendet werden, einschlie\u00dflich des HTTP-Servers Caddy, sofern die M\u00f6glichkeit besteht, Netzwerpakete an den von ihnen erstellten lauschen Socket zu senden. Da die Schwachstelle direkt im IPv4-Stack vorhanden ist und nicht spezifisch f\u00fcr MPTCP ist, wird nicht ausgeschlossen, dass Exploits erstellt werden, die ohne Bezug zu MPTCP arbeiten, aber solche Exploits sind bisher nicht demonstriert worden. Zum Beispiel k\u00f6nnte die Schwachstelle bei der Verarbeitung von Socket-Migrationsanfragen ausgenutzt werden, die in Konfigurationen mit dem Parameter net.ipv4.tcp_migrate_req=1 verf\u00fcgbar sind, oder bei der Verwendung von eBPF-Programmen mit der Option BPF_SK_REUSEPORT_SELECT_OR_MIGRATE.<\/p>\n
Die Schwachstelle wird durch einen Race Condition verursacht, die auftritt, wenn gleichzeitig wiederholte SYN-Anfragen beim Aufbau einer TCP-Verbindung verarbeitet werden. Da die Funktion tcp_v4_syn_recv_sock() Parameter aus der Struktur ireq->ireq_opt \u00fcber eine Referenz und nicht durch Kopieren an den untergeordneten Socket \u00fcbergibt, kann unter bestimmten Umst\u00e4nden eine Situation entstehen, in der der Speicher f\u00fcr die Strukturen inet_opt und ireq_opt bereits freigegeben wurde, aber die damit verbundenen Socket-Optionen weiterhin verwendet werden (use-after-free). <\/p>\n
Die Remote-Ausnutzung erfolgt durch das Senden einer Reihe von zeitlich synchronisierten Netzwerkabfragen. Der erstellte Exploit ist erfolgreich anwendbar, auch auf Kernel, in denen Adress-Randomisierung (KASLR) verwendet wird, jedoch dauert es relativ lange, um in das Fenster der Race Condition zu gelangen, und es erfordert viele Wiederholungsversuche. Erschwert wird die Ausnutzung dadurch, dass ein Fehlschlag im Fenster der Race Condition lediglich zu einem Reset des Verbindungsaufbaus (handshake) f\u00fchrt und nicht zu einem Kernel-Crash, was unendliche Versuche erm\u00f6glicht. Im erstellten Exploit-Prototyp ben\u00f6tigte der Angriff etwa eine Stunde \u2013 48 Minuten zur Bestimmung der Speicheranordnung und weitere 5 Minuten zur Organisation der Codeausf\u00fchrung. <\/p>\n
Garantierte blockierende Umgehungsstrategien f\u00fcr die Schwachstelle liegen derzeit nicht vor \u2013 als einzige zuverl\u00e4ssige Option wird empfohlen, das Kernel-Update zu installieren. Das Problem trat mit dem Linux-Kernel 4.4 auf und wurde in den Versionen 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 und 7.3 behoben. Den Status der Behebung von Schwachstellen in den Distributionen kann auf den folgenden Seiten gepr\u00fcft werden: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch.
\nFedora. <\/p>\n
Aus den Empfehlungen zur Bek\u00e4mpfung spezifischer Exploit-Methoden, die die Schwachstelle nicht allgemein blockieren, kann man die Deaktivierung der MPTCP-Unterst\u00fctzung und das Setzen des sysctl-Kernelparameters net.ipv4.tcp_migrate_req auf 0 hervorheben:<\/p>\n
sysctl -w net.mptcp.enabled=0
\n sysctl -w net.ipv4.tcp_migrate_req=0<\/p>\n
Um vorhandene Prozesse im System zu identifizieren, die Sockets mit
\nMPTCP verwenden, k\u00f6nnen die folgenden Befehle genutzt werden:<\/p>\n
ip mptcp endpoint show
\n ip mptcp limits show<\/p>\n
Um die Unterst\u00fctzung von MPTCP in Go-Programmen zu deaktivieren, sollte das Flag \"multipathtcp=0\" verwendet werden, welches durch Setzen der Umgebungsvariable \"GODEBUG=multipathtcp=0\" festgelegt werden kann. Um die MPTCP-Unterst\u00fctzung w\u00e4hrend des Build-Prozesses zu deaktivieren, kann \"godebug multipathtcp=0\" zur go.mod-Datei hinzugef\u00fcgt werden. Im Anwendungscode kann die Verwendung von MPTCP \u00fcber die Funktionen net.Dialer.SetMultipathTCP und net.ListenConfig.SetMultipathTCP deaktiviert werden.<\/p>\n
Neben dem besprochenen Problem hat das Unternehmen Anthropic auch eine Reihe lokal ausnutzbarer Sicherheitsanf\u00e4lligkeiten im Linux-Kernel, OpenBSD und FreeBSD angek\u00fcndigt, die es erm\u00f6glichen, Root-Rechte im System zu erlangen und aus isolierten Containern auszubrechen; Sicherheitsanf\u00e4lligkeiten in Chrome und Safari, die zur Ausf\u00fchrung von Code im System f\u00fchren, wenn speziell gestaltete Webseiten ge\u00f6ffnet werden; eine Sicherheitsanf\u00e4lligkeit im Windows-Kernel, die zu einem Absturz f\u00fchrt; eine Sicherheitsanf\u00e4lligkeit in der Android-Plattform, die es erm\u00f6glicht, die Bildschirmsperre zu umgehen und auf pers\u00f6nliche Informationen und Fotos zuzugreifen, ohne das Ger\u00e4t zu entsperren (der Angriff wurde auf einem Google Pixel 9-Smartphone demonstriert).<\/p>\n
Zusatz: <\/p>\n