Spolo\u010dnos\u0165 Anthropic odhalila inform\u00e1cie o kritickej zranite\u013enosti (CVE-2026-98432) v TCP stacku linuxov\u00e9ho jadra, ktor\u00e1 umo\u017e\u0148uje vzdialen\u00e9 vykon\u00e1vanie k\u00f3du prostredn\u00edctvom odosielania \u0161peci\u00e1lne form\u00e1tovan\u00fdch paketov. Bolo ozn\u00e1men\u00e9 o vytvoren\u00ed funk\u010dn\u00e9ho exploit-u, ktor\u00fd umo\u017e\u0148uje vykonanie k\u00f3du na \u00farovni jadra a vzdialen\u00fd zisk pr\u00e1v root v syst\u00e9me. Pripraven\u00fd exploit je vhodn\u00fd na \u00fatoky na syst\u00e9my so serverov\u00fdmi procesmi, ktor\u00e9 prij\u00edmaj\u00fa spojenia cez sie\u0165ov\u00e9 socket-y podporuj\u00face pou\u017e\u00edvanie protokolu MPTCP (Multipath TCP). Podpora MPTCP m\u00f4\u017ee by\u0165 aktivovan\u00e1 viazan\u00edm na jednotliv\u00e9 sie\u0165ov\u00e9 socket-y, \u010do sa deje predvolene v \u0161tandardnej kni\u017enici jazyka Go, za\u010d\u00ednaj\u00fac s verziou Go 1.24 (febru\u00e1r 2025). <\/p>\n
Pripraven\u00fd exploit m\u00f4\u017ee by\u0165 aplikovan\u00fd pri pou\u017e\u00edvan\u00ed ak\u00fdchko\u013evek serverov\u00fdch aplik\u00e1ci\u00ed v jazyku Go, vr\u00e1tane HTTP servera Caddy, ak existuje mo\u017enos\u0165 odosielania sie\u0165ov\u00fdch paketov na vytvoren\u00fd po\u010d\u00favaj\u00faci socket. Ke\u010f\u017ee zranite\u013enos\u0165 je pr\u00edtomn\u00e1 priamo v IPv4 stacku a nie je \u0161pecifick\u00e1 pre MPTCP, nevylu\u010duje sa vytvorenie exploitov, ktor\u00e9 funguj\u00fa bez viazania na MPTCP, ale tak\u00e9to exploits zatia\u013e neboli demon\u0161trovan\u00e9. Napr\u00edklad, mo\u017en\u00e9 je zneu\u017eitie zranite\u013enosti pri spracovan\u00ed po\u017eiadaviek na migr\u00e1ciu socketov, dostupn\u00e9 v konfigur\u00e1ci\u00e1ch s parametrom net.ipv4.tcp_migrate_req=1 alebo pri pou\u017e\u00edvan\u00ed eBPF programov s vo\u013ebou BPF_SK_REUSEPORT_SELECT_OR_MIGRATE.<\/p>\n
Zranite\u013enos\u0165 je sp\u00f4soben\u00e1 podmienkou pre z\u00e1vod, ktor\u00e1 nast\u00e1va pri s\u00fabe\u017enom spracovan\u00ed op\u00e4tovne zaslan\u00fdch SYN po\u017eiadaviek pri vytv\u00e1ran\u00ed TCP pripojenia. Ke\u010f\u017ee funkcia tcp_v4_syn_recv_sock() odovzd\u00e1va podru\u017en\u00e9mu socketu parametre zo \u0161trukt\u00fary ireq->ireq_opt odkazom, nie kop\u00edrovan\u00edm, za ur\u010dit\u00fdch okolnost\u00ed m\u00f4\u017ee nasta\u0165 situ\u00e1cia, kedy je pam\u00e4\u0165 pre \u0161trukt\u00fary inet_opt a ireq_opt s parametrami socketu u\u017e uvo\u013enen\u00e1, ale s\u00favisiace mo\u017enosti socketu sa na\u010falej pou\u017e\u00edvaj\u00fa (use-after-free). <\/p>\n
Dia\u013ekov\u00e9 zneu\u017eitie sa vykon\u00e1va zaslan\u00edm s\u00e9rie synchronizovan\u00fdch sie\u0165ov\u00fdch po\u017eiadaviek. Vytvoren\u00fd exploit je \u00faspe\u0161ne pou\u017eiteln\u00fd aj v jadrach, kde sa pou\u017e\u00edva randomiz\u00e1cia adries (KASLR), no dostanie sa do okna stavu z\u00e1vodu trv\u00e1 dostato\u010dne dlho a vy\u017eaduje ve\u013ek\u00e9 mno\u017estvo pokusov. Zneu\u017eitie u\u013eah\u010duje to, \u017ee nedostanie sa do okna stavu z\u00e1vodu vedie iba k resetovaniu rel\u00e1cie pripojenia (handshake), a nie k p\u00e1du jadra, \u010do umo\u017e\u0148uje neobmedzen\u00e9 pokra\u010dovanie pokusov. V vytvorenom prototypu exploidu sa na vykonanie \u00fatoku po\u017eadovalo pribli\u017ene hodinu - 48 min\u00fat na ur\u010denie rozvrhnutia pam\u00e4te a \u010fal\u0161\u00edch 5 min\u00fat na organiz\u00e1ciu vykon\u00e1vania k\u00f3du. <\/p>\n
Zaru\u010dene blokuj\u00face obch\u00e1dzacie cesty zranite\u013enosti zatia\u013e neboli predlo\u017een\u00e9 - ako jedin\u00e1 spo\u013eahliv\u00e1 mo\u017enos\u0165 sa odpor\u00fa\u010da nain\u0161talova\u0165 aktualiz\u00e1ciu jadra. Probl\u00e9m sa prejavuje od jadra Linux 4.4 a bol odstr\u00e1nen\u00fd v vydaniach 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 a 7.3. Stav odstr\u00e1nenia zranite\u013enost\u00ed v distrib\u00faci\u00e1ch je mo\u017en\u00e9 pos\u00fadi\u0165 na t\u00fdchto str\u00e1nkach: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch.
\nFedora. <\/p>\n
Z odpor\u00fa\u010dan\u00ed na prevenciu konkr\u00e9tnych met\u00f3d vykon\u00e1vania, ktor\u00e9 nezablokuj\u00fa zranite\u013enos\u0165 vo v\u0161eobecnosti, m\u00f4\u017eeme spomen\u00fa\u0165 vypnutie podpory MPTCP a nastavenie parametra sysctl jadra net.ipv4.tcp_migrate_req na hodnotu 0:<\/p>\n
sysctl -w net.mptcp.enabled=0
\n sysctl -w net.ipv4.tcp_migrate_req=0<\/p>\n
Na ur\u010denie pr\u00edtomnosti v syst\u00e9me procesov vyu\u017e\u00edvaj\u00facich sokety s
\nMPTCP, m\u00f4\u017eeme pou\u017ei\u0165 pr\u00edkazy:<\/p>\n
ip mptcp endpoint show
\n ip mptcp limits show<\/p>\n
Na vypnutie podpory MPTCP v programoch nap\u00edsan\u00fdch v jazyku Go, je potrebn\u00e9 pou\u017ei\u0165 flag \"multipathtcp=0\", ktor\u00fd je mo\u017en\u00e9 nastavi\u0165 pomocou premennej prostredia \"GODEBUG=multipathtcp=0\". Na vypnutie podpory MPTCP v priebehu zostavovania je mo\u017en\u00e9 prida\u0165 \"godebug multipathtcp=0\" do s\u00faboru s modulom go.mod. V k\u00f3de aplik\u00e1cie je mo\u017en\u00e9 zak\u00e1za\u0165 pou\u017e\u00edvanie MPTCP cez funkcie net.Dialer.SetMultipathTCP a net.ListenConfig.SetMultipathTCP.<\/p>\n
Okrem uvedenej problematiky spolo\u010dnos\u0165 Anthropic ozn\u00e1mila s\u00e9riu lok\u00e1lne exploatovan\u00fdch zranite\u013enost\u00ed v jadre Linux, OpenBSD a FreeBSD, ktor\u00e9 umo\u017e\u0148uj\u00fa z\u00edska\u0165 pr\u00e1va root v syst\u00e9me a vyst\u00fapi\u0165 z izolovan\u00fdch kontajnerov; zranite\u013enosti v Chrome a Safari, ktor\u00e9 ved\u00fa k vykonaniu k\u00f3du v syst\u00e9me pri otvoren\u00ed \u0161peci\u00e1lne upraven\u00fdch webov\u00fdch str\u00e1nok; zranite\u013enos\u0165 v jadre Windows, ktor\u00e1 vedie k havarijn\u00e9mu ukon\u010deniu pr\u00e1ce; zranite\u013enos\u0165 v platforme Android, ktor\u00e1 umo\u017e\u0148uje ob\u00eds\u0165 blokovanie obrazovky a z\u00edska\u0165 pr\u00edstup k osobn\u00fdm inform\u00e1ci\u00e1m a fotografi\u00e1m bez odomknutia zariadenia (\u00fatok bol demon\u0161trovan\u00fd na smartf\u00f3ne Google Pixel 9).<\/p>\n
Doplnenie: <\/p>\n