A empresa Anthropic revelou uma vulnerabilidade cr\u00edtica (CVE-2026-98432) no stack TCP do n\u00facleo Linux, que permite a execu\u00e7\u00e3o remota de c\u00f3digo atrav\u00e9s do envio de pacotes especialmente formatados. Um exploit funcional foi declarado, permitindo a execu\u00e7\u00e3o de c\u00f3digo no n\u00edvel do n\u00facleo e a obten\u00e7\u00e3o remota de privil\u00e9gios root no sistema. O exploit preparado \u00e9 adequado para atacar sistemas com processos de servidor que aceitam conex\u00f5es atrav\u00e9s de sockets de rede que suportam o uso do protocolo MPTCP (Multipath TCP). O suporte ao MPTCP pode ser ativado na vincula\u00e7\u00e3o a sockets de rede espec\u00edficos, o que \u00e9 feito por padr\u00e3o na biblioteca padr\u00e3o da linguagem Go, a partir da vers\u00e3o Go 1.24 (fevereiro de 2025). <\/p>\n
O exploit preparado pode ser aplicado ao uso de qualquer aplicativo de servidor na linguagem Go, incluindo o servidor HTTP Caddy, desde que haja a possibilidade de enviar pacotes de rede para o socket de escuta criado por eles. Como a vulnerabilidade est\u00e1 presente no stack IPv4 e n\u00e3o \u00e9 espec\u00edfica para o MPTCP, n\u00e3o se exclui a possibilidade de criar exploits que funcionem sem depender do MPTCP, mas tais exploits ainda n\u00e3o foram demonstrados. Por exemplo, \u00e9 poss\u00edvel explorar a vulnerabilidade ao processar solicita\u00e7\u00f5es de migra\u00e7\u00e3o de sockets, dispon\u00edvel em configura\u00e7\u00f5es com o par\u00e2metro net.ipv4.tcp_migrate_req=1 ou ao usar programas eBPF com a op\u00e7\u00e3o BPF_SK_REUSEPORT_SELECT_OR_MIGRATE.<\/p>\n
A vulnerabilidade \u00e9 causada por uma condi\u00e7\u00e3o de corrida que ocorre ao processar simultaneamente requisi\u00e7\u00f5es SYN retransmitidas durante o estabelecimento de uma conex\u00e3o TCP. Como a fun\u00e7\u00e3o tcp_v4_syn_recv_sock() passa par\u00e2metros da estrutura ireq->ireq_opt para o socket filho por refer\u00eancia, e n\u00e3o por c\u00f3pia, em determinadas circunst\u00e2ncias pode surgir uma situa\u00e7\u00e3o em que a mem\u00f3ria sob as estruturas inet_opt e ireq_opt com os par\u00e2metros do socket j\u00e1 foi liberada, mas as op\u00e7\u00f5es associadas continuam a ser utilizadas (uso ap\u00f3s libera\u00e7\u00e3o). <\/p>\n
A explora\u00e7\u00e3o remota \u00e9 realizada atrav\u00e9s do envio de uma s\u00e9rie de requisitos de rede sincronizados temporalmente. O exploit criado \u00e9 aplic\u00e1vel tamb\u00e9m a n\u00facleos que utilizam randomiza\u00e7\u00e3o de endere\u00e7os (KASLR), mas conseguir atingir a janela da condi\u00e7\u00e3o de corrida leva um tempo consider\u00e1vel e requer um grande n\u00famero de tentativas. A explora\u00e7\u00e3o \u00e9 facilitada pelo fato de que n\u00e3o conseguir entrar na janela n\u00e3o resulta em uma falha do n\u00facleo, mas apenas na reinicializa\u00e7\u00e3o da sess\u00e3o de estabelecimento da conex\u00e3o (handshake), permitindo tentativas infinitas. No prot\u00f3tipo criado, a condu\u00e7\u00e3o do ataque levou cerca de uma hora \u2014 48 minutos para determinar a disposi\u00e7\u00e3o da mem\u00f3ria e mais 5 minutos para organizar a execu\u00e7\u00e3o do c\u00f3digo. <\/p>\n
Caminhos de defesa que bloqueiam a vulnerabilidade ainda n\u00e3o foram apresentados \u2014 a \u00fanica op\u00e7\u00e3o confi\u00e1vel \u00e9 atualizar o n\u00facleo. O problema se manifesta a partir do n\u00facleo Linux 4.4 e foi corrigido nas vers\u00f5es 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 e 7.3. O status da corre\u00e7\u00e3o de vulnerabilidades nas distribui\u00e7\u00f5es pode ser avaliado nas seguintes p\u00e1ginas: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch.
\nFedora. <\/p>\n
Das recomenda\u00e7\u00f5es para combater m\u00e9todos espec\u00edficos de explora\u00e7\u00e3o, que n\u00e3o bloqueiam a vulnerabilidade de forma geral, destaco a desativa\u00e7\u00e3o do suporte a MPTCP e a configura\u00e7\u00e3o do par\u00e2metro sysctl do n\u00facleo net.ipv4.tcp_migrate_req para o valor 0:<\/p>\n
sysctl -w net.mptcp.enabled=0
\n sysctl -w net.ipv4.tcp_migrate_req=0<\/p>\n
Para determinar a exist\u00eancia de processos no sistema que utilizam sockets com
\nMPTCP, pode-se usar os comandos:<\/p>\n
ip mptcp endpoint show
\n ip mptcp limits show<\/p>\n
Para desativar o suporte a MPTCP em programas na linguagem Go, deve-se usar a flag \"multipathtcp=0\", que pode ser definida pela vari\u00e1vel de ambiente \"GODEBUG=multipathtcp=0\". Para desativar o suporte a MPTCP na etapa de compila\u00e7\u00e3o, pode-se adicionar \"godebug multipathtcp=0\" no arquivo do m\u00f3dulo go.mod. No c\u00f3digo do aplicativo, a utiliza\u00e7\u00e3o do MPTCP pode ser desativada atrav\u00e9s das fun\u00e7\u00f5es net.Dialer.SetMultipathTCP e net.ListenConfig.SetMultipathTCP.<\/p>\n
Al\u00e9m do problema discutido, a empresa Anthropic anunciou uma s\u00e9rie de vulnerabilidades localmente explor\u00e1veis no n\u00facleo do Linux, OpenBSD e FreeBSD, permitindo a obten\u00e7\u00e3o de privil\u00e9gios de root no sistema e a sa\u00edda de containers isolados; vulnerabilidades no Chrome e Safari que levam \u00e0 execu\u00e7\u00e3o de c\u00f3digo no sistema ao abrir p\u00e1ginas web especialmente formatadas; uma vulnerabilidade no n\u00facleo do Windows que resulta em encerramento abrupto; e uma vulnerabilidade na plataforma Android que permite contornar a bloqueio de tela e acessar informa\u00e7\u00f5es pessoais e fotos sem desbloquear o dispositivo (o ataque foi demonstrado no smartphone Google Pixel 9).<\/p>\n
Adicional: <\/p>\n