CVE-2026-98432: kritinė Linux TCP spraga — ką tikrinti Ubuntu serveriuose?

Kas yra CVE-2026-98432?

„Ubuntu“ saugumo įraše aprašomas Linux branduolio IPv4 TCP kelio atminties naudojimo po atlaisvinimo (use-after-free) trūkumas. Tam tikromis lygiagrečių veiksmų aplinkybėmis branduolys gali atlaisvinti tinklo lizdo parinkčių atmintį, kol kita CPU gija dar ją skaito. Tai gali sugadinti branduolio atminties būseną. „Ubuntu“ įraše nurodoma, kad pažeidžiamumas gali sudaryti sąlygas nuotoliniam kodo vykdymui; „Ubuntu“ skiria CVSS 3.1 9,8 balo. „Ubuntu“ CVE-2026-98432 įrašas.

Pažeidžiamas kelias yra IPv4 TCP ryšio apdorojimas. Tyrėjų aprašytame koncepcijos patikrinime naudotas MPTCP klausytojas, tačiau tai nereiškia, kad pats CVE apsiriboja vien MPTCP. „Anthropic“ skelbia, kad tyrime pademonstravo nuotolinio komandų vykdymo koncepciją be autentifikacijos; tai laboratorinė demonstracija, o ne įrodymas, kad konkretus jūsų serveris buvo pasiektas. „Anthropic“ tyrimo aprašymas.

Ką reiškia MPTCP ir ar užtenka jį išjungti?

MPTCP leidžia vienam transporto ryšiui naudoti kelis tinklo kelius. Tyrėjų demonstracijoje MPTCP klausytojas buvo svarbi sąlyga pasirinktam išnaudojimo scenarijui. Vis dėlto šios funkcijos išjungimas nėra bendras pataisymas: jis nepakeičia branduolio atnaujinimo, o programos ar kitos TCP konfigūracijos gali turėti atskirų poveikių. „Ubuntu“ saugumo komanda nurodo, kad tinkamas ilgalaikis sprendimas yra saugumo pataisa.

Ypač verta peržiūrėti neseniai diegtas serverines programas ir jų klausymo lizdus, taip pat stebėti OS tiekėjo saugumo pranešimus. Pavyzdžiui, Go 1.24 numatytoji elgsena gali įjungti MPTCP klausytojams, todėl programos elgseną tikrinkite pagal naudojamą Go versiją ir jos paleidimo aplinką. Tai nėra įrodymas, kad kiekviena Go programa naudoja pažeidžiamą kelią. „Go“ dokumentacija apie MPTCP ir GODEBUG.

Ubuntu pataisų būsena: tikrinkite konkretų paketą

2026 m. lapkričio 3 d. peržiūrėtame „Ubuntu“ CVE puslapyje pagrindinių 26.10, 26.04 LTS, 24.04 LTS ir 22.04 LTS branduolių įrašai vis dar pažymėti kaip pažeidžiami, pataisa ruošiama. Tame pačiame puslapyje 20.04 LTS ir senesniems leidimams standartinėje lentelėje pataisa nenurodyta. Paketų variantai, pavyzdžiui, AWS, KVM ar HWE branduoliai, turi atskiras eilutes, todėl vienos bendros lentelės eilutės gali nepakakti.

Jei naudojate „Red Hat Enterprise Linux“, tikrinkite „Red Hat“ įrašą ir jūsų konkrečiam leidimui skirtą RHSA biuletenį. Tiekėjų pataisų laikas ir paketų numeriai skiriasi; nespręskite apie vienos distribucijos būseną pagal kitos pranešimą. „Red Hat“ CVE įrašas.

Ką Linux administratoriui padaryti dabar?

1. Surašykite paveikiamus serverius. Įtraukite Ubuntu ir kitų distribucijų leidimus, kernelio šeimą (pavyzdžiui, generic, HWE, AWS ar KVM) ir ar paslauga pasiekiama iš nepatikimų tinklų.
2. Patikrinkite tiekėjo saugumo puslapį pagal tikslų paketą. Vien paleistas apt upgrade neįrodo, kad jūsų naudojamai branduolio atmainai pataisa jau išleista.
3. Įdiekite tiekėjo paskelbtą pataisą pagal įprastą pakeitimų procesą. Branduolio atnaujinimui dažniausiai reikės perkrovimo, todėl suplanuokite aptarnavimo langą, HA/failover patikrą ir grįžimo planą.
4. Patikrinkite po perkrovimo. Patvirtinkite veikiančią branduolio versiją, paslaugų būklę, stebėsenos signalus ir ar serveris tikrai nepasikrovė senesniu branduoliu.
5. Jei pataisos dar nėra, mažinkite pasiekiamumą. Uždarykite nebūtinus įeinančius ryšius, apribokite administravimo ir paslaugų prieigą prie patikimų šaltinių, stebėkite tiekėjo pranešimą. Tokios priemonės mažina poveikio tikimybę, bet nepakeičia pataisos.

„Ubuntu“ CVE puslapis aprašo ir laikiną IPv4 TCP paketų su IP parinktimis filtravimą, tačiau pabrėžia, kad tai tik rizikos mažinimas, gali paveikti ryšius, kuriems reikia IP parinkčių, ir reikalauja gerai suprasti esamą ugniasienės konfigūraciją. Todėl šio bendro aprašymo neverta aklai kopijuoti į gamybos ugniasienę: sprendimą pirmiausia įvertinkite atskiroje aplinkoje ir pagal savo tinklo reikalavimus. Pirmenybė — tiekėjo branduolio pataisai.