დისტანციურად ექსპლუატირებადი დაუცველობა ბირთვის TCP დასტაში Linux

Anthropic-მა TCP-ის ბირთვის დასტაში კრიტიკული დაუცველობა (CVE-2026-98432) გამოავლინა. Linux, რომელიც საშუალებას იძლევა კოდის დისტანციურად შესრულების სპეციალურად შექმნილი პაკეტების გაგზავნით. მოხსენებულია მოქმედი ექსპლოიტის შესახებ, რომელიც საშუალებას იძლევა კოდის შესრულება ბირთვის დონეზე და სისტემაზე root უფლებების დისტანციურად მოპოვება. ექსპლოიტი შესაფერისია იმ სისტემებზე თავდასხმისთვის, რომელთა სერვერული პროცესები იღებენ კავშირებს ქსელური სოკეტების საშუალებით, რომლებიც მხარს უჭერენ Multipath TCP (MPTCP) პროტოკოლს. MPTCP მხარდაჭერის ჩართვა შესაძლებელია თითოეული ქსელის სოკეტის საფუძველზე, რაც ნაგულისხმევია Go სტანდარტული ბიბლიოთეკაში, დაწყებული Go 1.24 ვერსიიდან (2025 წლის თებერვალი).

მომზადებული ექსპლოიტის გამოყენება შესაძლებელია Go-ში დაწერილ ნებისმიერ სერვერულ აპლიკაციასთან, მათ შორის Caddy HTTP სერვერთან, იმ პირობით, რომ მას შეუძლია ქსელური პაკეტების გაგზავნა მის მიერ შექმნილ მოსასმენ სოკეტში. ვინაიდან დაუცველობა უშუალოდ IPv4 სტეკშია და არ არის სპეციფიკური MPTCP-სთვის, შესაძლებელია ექსპლოიტების შექმნა, რომლებიც MPTCP-ზე დაყრდნობის გარეშე იმუშავებენ, მაგრამ ასეთი ექსპლოიტები ჯერ არ არის დემონსტრირებული. მაგალითად, შესაძლებელია დაუცველობის გამოყენება სოკეტის მიგრაციის მოთხოვნების დამუშავებისას, რაც ხელმისაწვდომია net.ipv4.tcp_migrate_req=1 პარამეტრით კონფიგურაციებში ან eBPF პროგრამების გამოყენებისას BPF_SK_REUSEPORT_SELECT_OR_MIGRATE ოფციით.

დაუცველობა გამოწვეულია TCP კავშირის დამყარებისას ხელახლა გადაცემული SYN მოთხოვნების ერთდროული დამუშავების დროს წარმოქმნილი რბოლის პირობით. ვინაიდან tcp_v4_syn_recv_sock() ფუნქცია პარამეტრებს ireq->ireq_opt სტრუქტურიდან შვილობილ სოკეტში გადასცემს მითითების საშუალებით, მათი კოპირების ნაცვლად, გარკვეულ ვითარებაში წარმოიქმნება სიტუაცია, როდესაც inet_opt და ireq_opt სტრუქტურების მეხსიერება, რომლებიც შეიცავს სოკეტის პარამეტრებს, უკვე გათავისუფლებულია, მაგრამ მასთან დაკავშირებული სოკეტის ოფციები კვლავ გამოიყენება (use-after-free).

დისტანციური ექსპლუატაცია ხორციელდება დროში სინქრონიზებული ქსელური მოთხოვნების სერიის გაგზავნით. ექსპლოიტი წარმატებით გამოიყენება ბირთვებზე, რომლებიც იყენებენ მისამართების შემთხვევითობას (KASLR), მაგრამ შეჯიბრის პირობის ფანჯარაში მოხვედრას საკმაოდ დიდი დრო სჭირდება და დიდი რაოდენობით განმეორებითი მცდელობები სჭირდება. ექსპლოიტაცია გამარტივებულია იმით, რომ შეჯიბრის პირობის ფანჯრის გამოტოვება მხოლოდ კავშირის დამყარებას იწვევს და არა ბირთვის კრახს, რაც განუსაზღვრელი ვადით მცდელობებს იძლევა. ექსპლოიტის პროტოტიპში, შეტევას დაახლოებით ერთი საათი - 48 წუთი დასჭირდა მეხსიერების განლაგების დასადგენად და კიდევ 5 წუთი კოდის შესრულების ორგანიზებისთვის.

ჯერჯერობით არ არსებობს შემოვლითი გზები, რომლებიც დაუცველობის გამოსწორების გარანტიას იძლევა — ბირთვის განახლების ინსტალაცია ერთადერთი საიმედო ვარიანტია. პრობლემა ბირთვიდანვე იჩენს თავს. Linux 4.4 და გამოსწორებულია 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 და 7.3 ვერსიებში. დისტრიბუციებში დაუცველობის გამოსწორებების სტატუსის შეფასება შესაძლებელია შემდეგ გვერდებზე: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch,
ფედორა.

კონკრეტული ექსპლუატაციის მეთოდების წინააღმდეგ ბრძოლის რეკომენდაციები, რომლებიც ზოგადად არ ბლოკავს დაუცველობას, მოიცავს MPTCP მხარდაჭერის გამორთვას და ბირთვის sysctl პარამეტრის net.ipv4.tcp_migrate_req-ის 0-ზე დაყენებას:

sysctl -w net.mptcp.enabled=0
sysctl -w net.ipv4.tcp_migrate_req=0

იმის დასადგენად, არის თუ არა სისტემაში პროცესები, რომლებიც იყენებენ სოკეტებს
MPTCP-ში შეგიძლიათ გამოიყენოთ შემდეგი ბრძანებები:

ip mptcp საბოლოო წერტილის ჩვენება
ip mptcp ლიმიტების ჩვენება

Go პროგრამებში MPTCP მხარდაჭერის გამოსართავად გამოიყენეთ „multipathtcp=0“ დროშა, რომლის დაყენებაც შესაძლებელია „GODEBUG=multipathtcp=0“ გარემოს ცვლადის დაყენებით. აწყობის დროს MPTCP მხარდაჭერის გამოსართავად, go.mod ფაილს დაამატეთ „godebug multipathtcp=0“. თქვენი აპლიკაციის კოდში შეგიძლიათ გამორთოთ MPTCP net.Dialer.SetMultipathTCP და net.ListenConfig.SetMultipathTCP ფუნქციების გამოყენებით.

განხილული საკითხის გარდა, Anthropic-მა ასევე გამოაცხადა ბირთვში ადგილობრივად ექსპლუატირებადი დაუცველობების სერიის შესახებ. Linux, OpenBSD და FreeBSD, რომლებიც სისტემაზე root წვდომის და იზოლირებული კონტეინერებიდან გაქცევის საშუალებას იძლევა; Chrome-სა და Safari-ში არსებული დაუცველობები, რომლებიც სპეციალურად შექმნილი ვებგვერდების გახსნისას სისტემაზე კოდის შესრულებას იწვევს; ბირთვის დაუცველობა Windows, რაც იწვევს ავარიას; პლატფორმის დაუცველობა Android, რომელიც საშუალებას გაძლევთ გვერდი აუარო ეკრანის დაბლოკვას და მოწყობილობის განბლოკვის გარეშე წვდომა გქონდეთ პერსონალურ ინფორმაციაზე და ფოტოებზე (შეტევა დემონსტრირებული იყო Google Pixel 9 სმარტფონზე).

დანართი:

• Nginx-ში, მოსმენის ქსელის სოკეტისთვის IPPROTO_MPTCP პარამეტრის ჩართვის შესაძლებლობა არსებობს 1.29.7 ვერსიიდან, მაგრამ ის ნაგულისხმევად არ გამოიყენება.
• Lighttpd-ში MPTCP-ის ჩართვის ვარიანტი ხელმისაწვდომია 1.4.76 ვერსიიდან.
• Apache httpd-ში MPTCP-ის მხარდასაჭერად პატჩები 2024 წელს Apache httpd 2.5-HEAD ფილიალს დაემატა.
• Systemd-ში, სოკეტის საშუალებით გააქტიურებისას MPTCP-ის ჩართვის მხარდაჭერა დაემატა 257-ე ვერსიაში.
• Apache Traffic Server-ში MPTCP-ის ჩართვის ვარიანტი მხარდაჭერილია 9.2.4 ვერსიიდან.
• HAProxy-ში, 3.1.0 ვერსიიდან დაწყებული, ხელმისაწვდომია ოფცია "mptcp{,4,6}@". „.
• Traefik-ში, IPPROTO_MPTCP დროშის დაყენება ნაგულისხმევად ჩართულია 2.11.26, 3.4.2 და v3.5.0-rc1 ვერსიებიდან.
• Valkey DBMS-ში, 9.0.0 ვერსიიდან დაწყებული, ხელმისაწვდომია ოფცია „--mptcp“ და პარამეტრები „mptcp yes“ და „repl-mptcp yes“.

წყარო: opennet.ru