Уязвимость в TCP-стеке Linux
В ядре Linux обнаружена уязвимость, допускающая удаленное выполнение кода, пишет The Hacker News.
Уязвимость, которой присвоен идентификатор CVE-2026-98432, касается TCP-стека Linux. Проэксплуатировать брешь удаленно позволяет отправка специально оформленных пакетов по сети на целевую машину. Разработчиками Linux степень опасности уязвимости оценена в 9,8 балла из 10 возможных по шкале CVSS (критическая). У некоторых вендоров Linux на этот счет своя точка зрения.
Опасности подвержен широкий круг серверных систем на базе Linux, в том числе веб-серверы, почтовые серверы, узлы Kubernetes, контейнерные хосты и виртуальные машины в облаке, принимающие TCP-трафик, прокси и VPN-шлюзы. К примеру, могут быть уязвимы решения на базе OpenVPN, хотя эксплойт для них пока продемонстрирован не был.
CVE-2026-98432 была выявлена Anthropic, разработчиком больших языковых моделей семейства Claude. По заявлению компании, 27 октября 2026 г. одна из ее ИИ-моделей обнаружила брешь и подготовила эксплойт, позволяющий неавторизованному злоумышленнику удаленно выполнять команды от лица пользователя root на серверах под управлением операционных систем на базе ядра Linux. Для этого необходимо, чтобы на атакуемом сервере имелись процессы, способные принимать соединения посредством протокола Multipath TCP (MTCP). Программы, написанные на Go версий 1.24 и более поздних, слушающие сокет по умолчанию запрашивают использование MTCP.
На момент выхода данного материала обновления, закрывающие уязвимости, для таких популярных дистрибутивов, как Ubuntu и Red Hat Enterprise Linux (RHEL) опубликованы не были. В свою очередь Amazon, Oracle, Debian, SUSE подготовили соответствующие пакеты.
Как возникает уязвимость
Уязвимость CVE-2026-98432 обусловлена багом в реализации TCP-стека ядра Linux, из-за которого возникает состояние гонки во время TCP-рукопожатия при установлении соединении клиента с сервером по протоколу IPv4. В этот момент ядро создает временный сокет, для чего создается временная структура, содержащая дополнительные поля в заголовке сетевого пакета.
После установления соединения создается новый полноценный сокет, параметры которого передаются не копированием, а по ссылке. В случае, когда сокет оказывается уничтоженным за ненадобностью, что ведет к очищению области памяти с его параметрами, а другое ядро процессора или самостоятельный CPU в тот же момент пытается получить соответствующие параметры для ответа на повторный запрос об установлении соединения, при этом обращаясь к участку уже освобожденной памяти, возникает уязвимость типа User-After-Free.
Согласно энциклопедии «Касперского», UAF (Use-After-Free) – уязвимость, связанная с некорректным использованием динамической памяти в процессе работы программы: при освобождении ячейки памяти указатель на нее не обнуляется, что позволяет хакерам воспользоваться ею в своих целях.
Примечательно то, что IPv6 уязвимости не подвержен, поскольку параметры устанавливаемого соединения в данном случае копируются вместо того, чтобы передаваться по ссылке.
CVE-2026-98432 присутствует в ядре Linux с версии 4.4, релиз которой состоялся в январе 2016 г.
Различия в оценках опасности бреши
В то время как разработчики ядра Linux считают CVE-2026-98432 крайне опасной и оценивают в 9,8 балла, отдельные значимые игроки рынка системного ПО считают, что она не так уж и страшна. Red Hat, к примеру, выставила ей оценку в 5,9 балла, Amazon – 7 баллов, а Oracle – 8,1. Разработчики Ubuntu недооценивать угрозу не склонны (9,8 балла).
Столь существенная разница в оценках обусловлена различиями во взгляде на сложность практической реализации уязвимости в реальной атаке. Ubuntu и разработчики ядра считают ее низкой, а остальные перечисленные – высокой.
В Red Hat, к примеру, поясняют, что на ее решение признать брешь умеренно опасной, повлиял тот факт, что добиться состояния гонки в описанном выше сценарии непросто. И даже в случае успеха с наибольшей вероятностью результатом станет аварийное завершение работы ядра, что приведет к отказу в обслуживании (DoS). Однако, по мнению специалистов Red Hat, пока не была продемонстрирована ситуация, при которой атакующему удалось бы получить доступ к защищенным данным или изменить данные в памяти ядра Linux.
Рост числа уязвимостей в Linux
По мере внедрения нейросетей в процесс разработки ядра Linux растет и количество выявляемых в нем уязвимостей.
Как ранее писал CNews, ИИ-анализаторы кода работают очень эффективно. Для примера, если в Linux 7.2 найдено 1,5 тыс. брешей, то в Linux 7.0 (12 апреля 2026 г.) – около 1 тыс.. Иначе говоря, известных уязвимостей в коде ядра Linux стало в полтора раза больше всего за четыре месяца.
Поделиться
