V linuxovém jádře byla objevena chyba CVE-2026–98432, která dostala od týmu spravujícího zranitelnosti jádra hodnocení CVSS 9,8 z 10. Jde o chybu souběhu v kódu pro navazování TCP spojení po IPv4. Při souběhu určitých operací může jádro pracovat s pamětí, kterou už dříve uvolnilo a jedná se tedy o chybu typu use-after-free. Zranitelnost se objevila v kódu jádra verze 4.4 a oprava se dostala do udržovaných stabilních řad jádra.
Na závažnost případu upozornil také Anthropic, jehož odborníci uvedli, že dosud nevydaný model Claude dokázal připravit funkční exploit. Ten v testu umožnil vzdáleně spouštět příkazy s právy roota na serveru s aktivním MPTCP, tedy rozšířením protokolu TCP pro přenos spojení přes více síťových cest. Útočník nepotřeboval přihlašovací údaje ani součinnost uživatele. Anthropic však zatím konkrétní exploit nezveřejnil.
Zranitelnost je podle popisu specifická pro IPv4 část obsluhy TCP spojení. Nejde tedy jednoduše říci, že každý linuxový server je možné napadnout stejným způsobem. Ukázka od Anthropicu se týkala právě serverů s MPTCP. Zároveň rozdílné hodnocení od různých tvůrců distribucí ukazuje, že se liší jejich předpoklady o složitosti útoku a jeho praktickém dopadu.
Správci by měli sledovat bezpečnostní oznámení své distribuce a ověřit stav konkrétní verze jádra. Samotné číslo verze jádra nemusí u upravených distribučních balíčků stačit. V dostupných oznámeních nebyly hlášeny útoky zneužívající tuto chybu v praxi.
(Upozornil J.S.)
ČLÁNKY DO MAILU