Ubuntu vēl nav izlaidis stabilu labojumu bīstamai Linux kodola TCP ievainojamībai

Ubuntu izstrādātājs Canonical 2. novembrī paziņoja, ka labojumi Linux kodola ievainojamībai CVE-2026-98432 versijām 22.04 LTS, 24.04 LTS un 26.04 LTS pagaidām ir pieejami tikai neobligātajā -proposed krātuvē. Parastajos atjauninājumos tie nonāks pēc testiem, kurus uzņēmums veic vairāk nekā 2000 sertificētos serveros un ierīcēs. Pilnībā salabota ir tikai jaunākā versija 26.10, bet vecākajām 16.04, 18.04 un 20.04 labojums vēl tiek gatavots.

Kļūda ir būtiska, jo skar ļoti daudzus serverus. Tā ir Linux kodola IPv4 TCP savienojumu izveides kodā kopš versijas 4.4, un tās smaguma novērtējums CVSS skalā ir 9,8 no 10. Uzbrucējam nav vajadzīga ne parole, ne lietotāja darbība, pietiek ar tīkla piekļuvi kādam TCP pakalpojumam neatjauninātā serverī.

Akamai drošības pētnieki skaidro, ka problēma ir sacensību stāvoklis jeb race condition. Kad savienojuma pieprasījumā ir IPv4 opcijas un tas tiek atkārtots, viens procesora kodols jau var atbrīvot atmiņu, kuru otrs vēl lieto. Labojumu izstrādātāju kodolā ievietoja 5. oktobrī, bet CVE numurs kļūdai piešķirts 15. oktobrī.

Kļūdu atklāja Anthropic pētnieks. 27. oktobrī uzņēmums aprakstīja uzbrukumu, ko ar neizlaistu iekšēju modeli bija uzrakstījis tā MI Claude. Tas ļauj attālināti izpildīt komandas ar root jeb pilnām administratora tiesībām serveros, kuros darbojas multipath TCP (MPTCP) klausītājs. Pēc Decrypt ziņām, neveiksmīgs mēģinājums izjauc tikai savienojumu, nevis visu sistēmu, tāpēc uzbrucējs var mēģināt atkal un atkal. Anthropic savu uzbrukuma kodu nav publiskojis, un Akamai un Canonical nezina par citiem publiski pieejamiem uzbrukuma rīkiem.

Go valodas drošības komanda brīdināja, ka Go no versijas 1.24 Linux klausīšanās ligzdās MPTCP ieslēdz pēc noklusējuma. Tomēr kļūda nav saistīta tikai ar MPTCP. Akamai iesaka MPTCP un TCP pieprasījumu migrāciju īslaicīgi izslēgt, bet uzsver, ka tas tikai samazina risku. Canonical uzskata, ka vienīgā pietiekamā aizsardzība ir kodola atjauninājums.

Citi izplatītāji rīkojās ātrāk. Red Hat 1. novembrī izlaida labojumus RHEL 8, 9 un 10, un Debian, SUSE, Oracle Linux un Amazon Linux tos izlaiduši vismaz dažām savām versijām. Oficiālajā kodolā kļūda labota Linux 7.3 un stabilajos laidienos, piemēram, 6.1.190, 6.6.159 un 6.12.113.

Ubuntu administratori kodola versiju var pārbaudīt ar komandu uname -r. Tie, kas paši testē kodolus, labojumu var uzstādīt no -proposed krātuves un pēc tam pārstartēt serveri. Pārējie var gaidīt parasto atjauninājumu. Canonical sola to izlaist, tiklīdz testi būs pabeigti, un papildināt savu ierakstu.