F\u00f6retaget Anthropic har avsl\u00f6jat information om en kritisk s\u00e5rbarhet (CVE-2026-98432) i TCP-stackens k\u00e4rnstruktur f\u00f6r Linux, som m\u00f6jligg\u00f6r fj\u00e4rrexekvering av kod genom att skicka specialdesignade paket. Det har rapporterats om skapandet av en fungerande exploit som m\u00f6jligg\u00f6r att k\u00f6ra kod p\u00e5 k\u00e4rnniv\u00e5 och fj\u00e4rr\u00e5tkomst till root-r\u00e4ttigheter i systemet. Den f\u00f6rberedda exploiten \u00e4r anv\u00e4ndbar f\u00f6r attacker p\u00e5 system med serverprocesser som accepterar anslutningar via n\u00e4tverksuttag som st\u00f6der anv\u00e4ndning av protokollet MPTCP (Multipath TCP). St\u00f6det f\u00f6r MPTCP kan aktiveras knutet till specifika n\u00e4tverksuttag, vilket g\u00f6rs som standard i det standardbibliotek som f\u00f6ljer med programmeringsspr\u00e5ket Go, fr\u00e5n version Go 1.24 (februari 2025). <\/p>\n
Den f\u00f6rberedda exploiten kan anv\u00e4ndas med alla serverapplikationer skrivna p\u00e5 Go, inklusive HTTP-servern Caddy, om det finns m\u00f6jlighet att skicka n\u00e4tverkspaket till de h\u00f6rande uttagen som de skapade. Eftersom s\u00e5rbarheten finns direkt i IPv4-stacken och inte \u00e4r specifik f\u00f6r MPTCP, \u00e4r det inte uteslutet att skapa exploiter som fungerar utan koppling till MPTCP, men s\u00e5dana exploiter har \u00e4nnu inte demonstrerats. Till exempel kan s\u00e5rbarheten utnyttjas vid hantering av socket-migreringsf\u00f6rfr\u00e5gningar, tillg\u00e4ngliga i konfigurationer med parametern net.ipv4.tcp_migrate_req=1 eller vid anv\u00e4ndning av eBPF-program med alternativet BPF_SK_REUSEPORT_SELECT_OR_MIGRATE.<\/p>\n
S\u00e5rbarheten orsakas av en race condition som uppst\u00e5r vid samtidig behandling av omdirigerade SYN-f\u00f6rfr\u00e5gningar vid uppr\u00e4ttande av TCP-anslutning. Eftersom funktionen tcp_v4_syn_recv_sock() \u00f6verf\u00f6r parametrarna fr\u00e5n strukturen ireq->ireq_opt till barnet socket genom referens och inte genom kopiering, kan det under vissa omst\u00e4ndigheter uppst\u00e5 en situation d\u00e4r minnet f\u00f6r strukturerna inet_opt och ireq_opt med socketparametrar redan har frigjorts, men de relaterade socketalternativen forts\u00e4tter att anv\u00e4ndas (use-after-free). <\/p>\n
Fj\u00e4rrutnyttjande utf\u00f6rs genom att skicka en serie tidsanpassade n\u00e4tverksf\u00f6rfr\u00e5gningar. Den skapade exploit kan framg\u00e5ngsrikt till\u00e4mpas \u00e4ven p\u00e5 k\u00e4rnor som anv\u00e4nder adressrandomisering (KASLR), men att tr\u00e4ffa race condition-f\u00f6nstret tar ganska l\u00e5ng tid och kr\u00e4ver ett stort antal f\u00f6rs\u00f6k. Utnyttjandet underl\u00e4ttas av det faktum att ett misslyckande i att tr\u00e4ffa race condition-f\u00f6nstret bara leder till en \u00e5terst\u00e4llning av anslutningshandshake, och inte till kraschen av k\u00e4rnan, vilket ger m\u00f6jlighet att forts\u00e4tta f\u00f6rs\u00f6ka o\u00e4ndligt. I den skapade exploitprototypen tog det ungef\u00e4r en timme - 48 minuter f\u00f6r att best\u00e4mma minneslayouten och ytterligare 5 minuter f\u00f6r att organisera kodens k\u00f6rning. <\/p>\n
Garanti blockerar inte s\u00e5rbarhetsf\u00e4llor f\u00f6r skydd f\u00f6r tillf\u00e4llet - som det enda p\u00e5litliga alternativet f\u00f6resl\u00e5s att installera k\u00e4rnuppdateringen. Problemet manifesterar sig fr\u00e5n k\u00e4rnan Linux 4.4 och \u00e4r \u00e5tg\u00e4rdat i versionerna 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 och 7.3. Status f\u00f6r \u00e5tg\u00e4rdandet av s\u00e5rbarheterna i distributionerna kan utv\u00e4rderas p\u00e5 f\u00f6ljande sidor: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch.
\nFedora. <\/p>\n
Bland rekommendationerna f\u00f6r att motverka specifika metoder f\u00f6r utnyttjande, som inte blockerar s\u00e5rbarheten i allm\u00e4nhet, kan n\u00e4mnas att st\u00e4nga av MPTCP-st\u00f6det och st\u00e4lla in sysctl-parametern net.ipv4.tcp_migrate_req till v\u00e4rdet 0:<\/p>\n
sysctl -w net.mptcp.enabled=0
\n sysctl -w net.ipv4.tcp_migrate_req=0<\/p>\n
F\u00f6r att identifiera om det finns processer i systemet som anv\u00e4nder sockets med
\nMPTCP, kan f\u00f6ljande kommandon anv\u00e4ndas:<\/p>\n
ip mptcp endpoint show
\n ip mptcp limits show<\/p>\n
F\u00f6r att st\u00e4nga av MPTCP-st\u00f6d i program skrivna i Go, b\u00f6r flaggan \"multipathtcp=0\" anv\u00e4ndas, som kan st\u00e4llas in genom milj\u00f6variabeln \"GODEBUG=multipathtcp=0\". F\u00f6r att st\u00e4nga av MPTCP-st\u00f6d under byggprocessen kan \"godebug multipathtcp=0\" l\u00e4ggas till i go.mod-modulfilen. I applikationskoden kan anv\u00e4ndningen av MPTCP st\u00e4ngas av genom funktionerna net.Dialer.SetMultipathTCP och net.ListenConfig.SetMultipathTCP.<\/p>\n
F\u00f6rutom det diskuterade problemet har f\u00f6retaget Anthropic \u00e4ven tillk\u00e4nnagett en serie lokalt exploaterbara s\u00e5rbarheter i Linux-k\u00e4rnan, OpenBSD och FreeBSD som m\u00f6jligg\u00f6r elevarbete av root-r\u00e4ttigheter i systemet och uttr\u00e4de fr\u00e5n isolerade containrar; s\u00e5rbarheter i Chrome och Safari som leder till k\u00f6rning av kod i systemet n\u00e4r speciellt utformade webbsidor \u00f6ppnas; en s\u00e5rbarhet i Windows-k\u00e4rnan som leder till ov\u00e4ntat avslut; en s\u00e5rbarhet i Android-plattformen som m\u00f6jligg\u00f6r kringg\u00e5ende av sk\u00e4rml\u00e5s och \u00e5tkomst till personlig information och foton utan att l\u00e5sa upp enheten (attacken demonstrerades p\u00e5 Google Pixel 9-smarttelefonen).<\/p>\n
Till\u00e4gg: <\/p>\n