Firma Anthropic ujawnila informacje o krytycznej luce bezpiecze\u0144stwa (CVE-2026-98432) w stosie TCP j\u0105dra Linux, kt\u00f3ra umo\u017cliwia zdalne wykonanie kodu poprzez wysy\u0142anie specjalnie przygotowanych pakiet\u00f3w. Zg\u0142oszono stworzenie dzia\u0142aj\u0105cego exploit, kt\u00f3ry umo\u017cliwia wykonanie kodu na poziomie j\u0105dra i zdalne uzyskanie uprawnie\u0144 root w systemie. Przygotowany exploit nadaje si\u0119 do ataku na systemy z procesami serwerowymi, kt\u00f3re akceptuj\u0105 po\u0142\u0105czenia przez gniazda sieciowe wspieraj\u0105ce protok\u00f3\u0142 MPTCP (Multipath TCP). Wsparcie MPTCP mo\u017ce by\u0107 aktywowane w przypisaniu do wybranych gniazd sieciowych, co jest domy\u015blnie w\u0142\u0105czone w standardowej bibliotece j\u0119zyka Go, pocz\u0105wszy od wersji Go 1.24 (luty 2025 roku). <\/p>\n
Przygotowany exploit mo\u017ce by\u0107 stosowany w przypadku dowolnych aplikacji serwerowych napisanych w j\u0119zyku Go, w tym serwera HTTP Caddy, przy za\u0142o\u017ceniu, \u017ce mo\u017cliwe jest wysy\u0142anie pakiet\u00f3w sieciowych do stworzonego przez nie gniazda nas\u0142uchuj\u0105cego. Poniewa\u017c luka wyst\u0119puje bezpo\u015brednio w stosie IPv4 i nie jest specyficzna dla MPTCP, nie mo\u017cna wykluczy\u0107 stworzenia exploit\u00f3w dzia\u0142aj\u0105cych bez powi\u0105zania z MPTCP, jednak dotychczas takie exploity nie zosta\u0142y zaprezentowane. Na przyk\u0142ad mo\u017cliwa jest eksploatacja luki w przypadku przetwarzania \u017c\u0105da\u0144 migracji gniazd, dost\u0119pnych w konfiguracjach z parametrem net.ipv4.tcp_migrate_req=1 lub przy u\u017cyciu program\u00f3w eBPF z opcj\u0105 BPF_SK_REUSEPORT_SELECT_OR_MIGRATE.<\/p>\n
Vra\u017cliwo\u015b\u0107 jest spowodowana stanem wy\u015bcigu, kt\u00f3ry pojawia si\u0119 podczas jednoczesnego przetwarzania ponownie przekazanych zapyta\u0144 SYN podczas ustanawiania po\u0142\u0105czenia TCP. Poniewa\u017c funkcja tcp_v4_syn_recv_sock() przekazuje parametry do potomnego gniazda za pomoc\u0105 struktury ireq->ireq_opt przez referencj\u0119, a nie przez kopiowanie, w okre\u015blonych okoliczno\u015bciach powstaje sytuacja, w kt\u00f3rej pami\u0119\u0107 dla struktur inet_opt i ireq_opt z parametrami gniazda zosta\u0142a ju\u017c zwolniona, ale powi\u0105zane z ni\u0105 opcje gniazda s\u0105 nadal u\u017cywane (use-after-free). <\/p>\n
Zdalne wykorzystanie odbywa si\u0119 poprzez wysy\u0142anie serii synchronizowanych zapyta\u0144 sieciowych. Stworzony exploit jest skutecznie stosowany r\u00f3wnie\u017c w j\u0105drze, w kt\u00f3rym u\u017cywana jest randomizacja adres\u00f3w (KASLR), ale trafienie w okno stanu wy\u015bcigu zajmuje wystarczaj\u0105co du\u017co czasu i wymaga du\u017cej liczby powt\u00f3rnych pr\u00f3b. U\u0142atwieniem dla ataku jest to, \u017ce nietrafienie w okno stanu wy\u015bcigu prowadzi jedynie do zerwania sesji ustanawiania po\u0142\u0105czenia (handshake), a nie do awarii j\u0105dra, co daje mo\u017cliwo\u015b\u0107 niesko\u0144czonych pr\u00f3b. W stworzonym prototypie exploita przeprowadzenie ataku zaj\u0119\u0142o oko\u0142o godziny \u2014 48 minut na okre\u015blenie rozk\u0142adu pami\u0119ci i jeszcze 5 minut na organizacj\u0119 wykonania kodu. <\/p>\n
Gwarantowane obej\u015bcia ubezpieczaj\u0105ce przed t\u0105 podatno\u015bci\u0105 nie zosta\u0142y jeszcze przedstawione \u2014 jako jedyna niezawodna opcja proponuje si\u0119 zainstalowanie aktualizacji j\u0105dra. Problem wyst\u0119puje od j\u0105dra Linux 4.4 i zosta\u0142 usuni\u0119ty w wersjach 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 i 7.3. Status eliminacji podatno\u015bci w dystrybucjach mo\u017cna oceni\u0107 na tych stronach: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch,
\nFedora. <\/p>\n
W\u015br\u00f3d zalecanych dzia\u0142a\u0144 maj\u0105cych na celu przeciwdzia\u0142anie konkretnym metodom eksploatacji, kt\u00f3re nie blokuj\u0105 luki w og\u00f3lnym zakresie, mo\u017cna wymieni\u0107 wy\u0142\u0105czenie wsparcia dla MPTCP oraz ustawienie parametru sysctl j\u0105dra net.ipv4.tcp_migrate_req na warto\u015b\u0107 0:<\/p>\n
sysctl -w net.mptcp.enabled=0
\n sysctl -w net.ipv4.tcp_migrate_req=0<\/p>\n
Aby okre\u015bli\u0107 obecno\u015b\u0107 w systemie proces\u00f3w wykorzystuj\u0105cych gniazda z
\nMPTCP, mo\u017cna u\u017cy\u0107 polece\u0144:<\/p>\n
ip mptcp endpoint show
\n ip mptcp limits show<\/p>\n
Aby wy\u0142\u0105czy\u0107 obs\u0142ug\u0119 MPTCP w programach napisanych w j\u0119zyku Go, nale\u017cy u\u017cy\u0107 flagi \u201emultipathtcp=0\u201d, kt\u00f3r\u0105 mo\u017cna ustawi\u0107 za pomoc\u0105 zmiennej \u015brodowiskowej \u201eGODEBUG=multipathtcp=0\u201d. Aby wy\u0142\u0105czy\u0107 obs\u0142ug\u0119 MPTCP na etapie kompilacji, mo\u017cna doda\u0107 \u201egodebug multipathtcp=0\u201d do pliku modu\u0142u go.mod. W kodzie aplikacji mo\u017cna wy\u0142\u0105czy\u0107 u\u017cycie MPTCP za pomoc\u0105 funkcji net.Dialer.SetMultipathTCP i net.ListenConfig.SetMultipathTCP.<\/p>\n
Poza rozwa\u017canym problemem firma Anthropic og\u0142osi\u0142a r\u00f3wnie\u017c szereg lokalnych luk w systemach Linux, OpenBSD i FreeBSD, kt\u00f3re umo\u017cliwiaj\u0105 uzyskanie uprawnie\u0144 root w systemie oraz wyj\u015bcie z izolowanych kontener\u00f3w; luki w Chrome i Safari, prowadz\u0105ce do wykonania kodu w systemie po otwarciu specjalnie przygotowanych stron internetowych; luka w j\u0105drze Windows, prowadz\u0105ca do awaryjnego zako\u0144czenia pracy; luka w platformie Android, kt\u00f3ra pozwala na omini\u0119cie blokady ekranu i uzyskanie dost\u0119pu do informacji osobistych i zdj\u0119\u0107 bez odblokowywania urz\u0105dzenia (atak zademonstrowano na smartfonie Google Pixel 9).<\/p>\n
Uzupe\u0142nienie: <\/p>\n