CVE-2026-98432: Linux-ის ბირთვის TCP-ში use-after-free და პაჩის შემოწმება

CVE-2026-98432 არის use-after-free-ის ტიპის ხარვეზი Linux-ის ბირთვის IPv4 TCP handshake-ის გზაზე. ხარვეზს შეუძლია დატოვოს მოძველებული მაჩვენებელი IP options-ის ობიექტზე, როცა request და child სოკეტები სხვადასხვა CPU-ზე ურთიერთქმედებენ. დამცველებმა upstream ჩანაწერი, ვენდორის ქულები და MPTCP-ის კვლევა უნდა განიხილონ როგორც ურთიერთშემავსებელი მტკიცებულება.

როგორ მუშაობს დაუცველი გზა

სერვერის handshake-ის დროს tcp_v4_syn_recv_sock() request სოკეტის ireq_opt მაჩვენებელს გადასცემს ახალ child სოკეტს როგორც inet_opt, მისი კოპირების გარეშე. მეორე CPU, რომელიც ხელახლა გაგზავნილ SYN-ს ამუშავებს, შეიძლება RCU-ის დაცვის ქვეშ წაიკითხოს ეს options, სანამ child გზა მათ ჩვეულებრივი kfree()-ით ათავისუფლებს. upstream-ის შესწორება იყენებს kfree_rcu()-ს შესაბამის დესტრუქტორებში, რათა მეხსიერების დაბრუნება დაელოდოს RCU-ის grace period-ს. მსგავსი შემთხვევა ჩნდება მაშინ, როცა request-ის მიგრაცია აკლონებს request სოკეტს და საშუალებას აძლევს ორ ობიექტს გაიზიარონ ერთი options-ის ალოკაცია; შესწორება ამ შემთხვევისთვის ცვლის inet_sock_destruct()-სა და tcp_v4_reqsk_destructor()-ს.

სიმძიმე, მასშტაბი და შეზღუდვები

Linux CNA-ს ჩანაწერი ანიჭებს CVSS 3.1-ის 9.8 ქულას, ხოლო Ubuntu-მ ასევე აქვეყნებს CVSS 4.0-ის 8.3 შეფასებას. Anthropic-მა აჩვენა root ბრძანების შესრულება ავთენტიფიკაციის გარეშე MPTCP listener-ის მქონე კონტროლირებად სერვერზე, მაგრამ ეს არ ამტკიცებს ყოველი Linux TCP listener-ის საყოველთაო კომპრომეტირებას. დისტრიბუციების შეფასებები უნდა განვიხილოთ მათივე პროდუქტებისა და მეტრიკის ვერსიების ჭრილში.

რეაგირება და შემოწმება

ადმინისტრატორებმა უნდა გამოავლინონ მისაწვდომი Linux TCP სერვისები, გაარკვიონ რეალურად გაშვებული ვენდორის ბირთვი, დააყენონ ვენდორის მიერ მოწოდებული გამოსწორებული ნაკრები, გადატვირთონ სისტემა და შეინარჩუნონ მტკიცებულება, რომ შესწორება აქტიურია. AlmaLinux-ის სტატუსი დამოუკიდებლად ვერ დადასტურდა 2026 წლის 30 ოქტომბრის სნეპშოტში არსებული CVE-ზე მორგებული ოფიციალური ბიულეტენის საფუძველზე, ხოლო Ubuntu-მ აქვეყნებს ცოცხალ პაკეტების ტრეკერს. MPTCP-ის გამორთვა ამცირებს ექსპოზიციას, მაგრამ არ აშორებს IPv4-ის სიცოცხლის ციკლის ძირეულ ხარვეზს.

ვერსიების შემოწმება

upstream-ის სტაბილური შესწორებები მოიცავს 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 და 7.3 განვითარების ხაზს. ეს ნომრები სასარგებლოა upstream-ის ბირთვებისთვის, მაგრამ ვენდორის პაკეტებში შესწორებები შეიძლება უკან დაპორტირდეს უფრო ძველი საბაზო ვერსიების შენარჩუნებით, ამიტომ პაკეტის სტატუსი უნდა შემოწმდეს დისტრიბუციის ზუსტი გამოშვებისა და ბირთვის flavor-ის მიხედვით.

წყაროები: penligent.ai