Una falla del Linux kernel lascia Ubuntu e RHEL in attesa di correzioni
La falla del Linux kernel CVE-2026-98432 interessa il kernel, il software centrale che controlla un sistema Linux, e la sua gestione delle connessioni Transmission Control Protocol (TCP). Il team CVE del Linux kernel le ha assegnato un punteggio di 9,8 su 10 secondo il Common Vulnerability Scoring System (CVSS), che classifica la gravità delle vulnerabilità. Il 27 ottobre Anthropic ha riferito che il suo modello di AI ha prodotto un exploit capace di eseguire comandi come root, l'account con i privilegi più elevati del sistema, senza credenziali contro un server Linux dotato di un listener multipath TCP. Al 29 ottobre, Ubuntu e Red Hat Enterprise Linux (RHEL) non disponevano di pacchetti kernel corretti.
Il difetto sottostante è una race condition, cioè una situazione in cui due operazioni possono interagire in un ordine non sicuro perché le loro tempistiche si sovrappongono, durante la configurazione di nuove connessioni TCP IPv4. Una volta terminato l'handshake della connessione, il kernel consente alla nuova connessione di accedere alle IP options memorizzate senza prima crearne una copia separata. Se la connessione viene distrutta mentre un altro processore sta ancora consultando tali opzioni per rispondere a una richiesta ripetuta, il kernel può accedere a memoria che è già stata rilasciata. Questa vulnerabilità è nota come use-after-free. IPv6 non presenta lo stesso problema perché il suo codice di connessione copia le opzioni pertinenti.
Il bug è entrato in Linux con la versione 4.4. Gli sviluppatori del kernel hanno applicato una correzione upstream il 5 ottobre, dieci giorni prima della pubblicazione della CVE. La modifica ritarda il rilascio delle opzioni finché gli altri processori non hanno terminato di leggerle. Anthropic ha affermato che la correzione è stata aggiunta anche ai branch stabili del kernel ancora mantenuti, ma chi utilizza kernel forniti da una distribuzione deve attendere che il proprio vendor Linux la inserisca in un pacchetto e la rilasci. Per le organizzazioni che compilano i propri kernel, le versioni corrette indicate dal team del kernel sono 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 e 7.3. Il team raccomanda di passare al kernel stabile più recente anziché selezionare e applicare questa modifica da sola.
Anthropic ha collegato la vulnerabilità a Multipath TCP (MPTCP), una funzionalità che consente a una singola connessione di utilizzare più percorsi di rete. Su Linux, il software deve richiedere esplicitamente MPTCP quando apre una connessione. Né il record CVE né la correzione upstream indicano MPTCP come requisito, e Anthropic non ha stabilito se la stessa tecnica di takeover funzioni contro server privi di un listener MPTCP.
Secondo Anthropic, il suo modello di AI ha scritto un exploit in due fasi dopo aver ricevuto le istruzioni iniziali. La prima fase ha attivato ripetutamente la race condition finché una risposta non ha rivelato dati della memoria del kernel adiacente, incluso un indirizzo che ha consentito all'exploit di aggirare Kernel Address Space Layout Randomization (KASLR), che normalmente rende più difficili da prevedere le posizioni importanti del kernel. La seconda fase ha utilizzato la vulnerabilità per provocare un overflow di un'area di memoria e sostituire un callback pointer con la posizione di istruzioni controllate dall'attaccante e già collocate nella memoria del kernel. Quando il kernel ha seguito quel pointer, ha eseguito come root un comando scelto dall'attaccante.
Anthropic ha affermato che un tentativo non riuscito di vincere la race condition provocava semplicemente il fallimento di quel tentativo di connessione, consentendo di riprovare più volte senza mandare in crash il sistema. Nel suo test, sono stati necessari 48 minuti per ottenere un indirizzo del kernel, seguiti da altri cinque minuti per arrivare all'esecuzione di comandi. L'azienda non ha pubblicato l'exploit, non ha identificato la versione del kernel sottoposta al test e non ha reso nota la configurazione utilizzata. Al 29 ottobre, nessun advisory di vendor, entry CVE o pubblicazione di Anthropic aveva segnalato attacchi che sfruttassero la vulnerabilità. Questa era inoltre assente dalla copia del catalogo Known Exploited Vulnerabilities della CISA aggiornata più recentemente dal CIRCL del Lussemburgo il 28 ottobre.
Le valutazioni della gravità differiscono perché i vendor non concordano su quanto sia difficile vincere la race condition. Il team CVE del kernel ha aggiunto la propria valutazione di 9,8 il 24 ottobre e ha considerato bassa l'attack complexity, poiché un attaccante può generare entrambi gli eventi concorrenti inviando una richiesta di connessione IPv4 con le Record Route o Timestamp options e poi ripetendola. Il team afferma che tra i possibili risultati vi sono la divulgazione di dati della memoria del kernel adiacente, memory corruption o un crash del sistema. Al 28 ottobre, il National Vulnerability Database non aveva fornito un punteggio separato e mostrava la valutazione del team del kernel.
La pagina CVE di Red Hat ha classificato la vulnerabilità come Moderate con un punteggio di 5,9, sostenendo che vincere la race condition è difficile e che un crash è l'esito più probabile. Ha dichiarato che non erano stati dimostrati danni alla riservatezza o all'integrità, sebbene la memory corruption fosse teoricamente possibile. Al contrario, l'advisory machine-readable di Red Hat, aggiornato il 29 ottobre, l'ha classificata come Important con un punteggio di 8,1 e un impatto elevato su riservatezza e integrità, mentre il suo bug tracker ha innalzato la gravità da media ad alta. Il vendor enterprise Linux e SUSE hanno anch'essi assegnato un punteggio di 8,1, considerando alta l'attack complexity. Amazon le ha assegnato un punteggio di 7,0.
La disponibilità delle patch per le distribuzioni rimane disomogenea. Ubuntu ha contrassegnato le versioni 22.04 LTS, 24.04 LTS, 26.04 LTS e 26.10 come work in progress, mentre le versioni 16.04, 18.04 e 20.04 risultavano vulnerabili. Anche i suoi kernel cloud, FIPS e real-time erano vulnerabili o in attesa di intervento. Le correzioni per RHEL 8, 9 e 10 e OpenShift 4 sono state rinviate a un aggiornamento futuro, senza una data di rilascio, mentre RHEL 7 non era interessato. Red Hat ha dichiarato di non disporre di una mitigazione che soddisfacesse i suoi requisiti di ampia applicabilità, stabilità e facilità di deployment.
Per diversi altri sistemi erano disponibili pacchetti corretti. Debian trixie ha ricevuto linux 6.12.113-1 tramite DSA-6568-1 il 16 ottobre. Debian 12 ha ricevuto linux 6.1.190-1 tramite DLA-4841-1 il 17 ottobre e linux-6.12 6.12.113-1~deb12u1 tramite DLA-4850-1 il 22 ottobre. Le versioni 7, 8, 9 e 10 della distribuzione enterprise Linux hanno ricevuto correzioni UEK il 16 ottobre tramite ELSA-2026-500397, ELSA-2026-500398 ed ELSA-2026-500399. SUSE Linux Micro 6.2 e openSUSE Leap 16.0 sono stati corretti in kernel-default 6.12.0-160000.40.1 o versioni successive, mentre diverse release di SLES e SLE Micro erano ancora in fase di test o avevano lavori in corso.
Amazon Linux 2023 ha corretto il proprio pacchetto kernel6.18 il 24 ottobre con kernel6.18-6.18.56-125.164.amzn2023 nell'ambito di ALAS2023-2026-3251. Il suo advisory per kernel6.12 indicava kernel6.12-6.12.113-138.209.amzn2023 come corretto il 29 ottobre nell'ambito di ALAS2023-2026-3335, sebbene la pagina CVE di Amazon mostrasse ancora il lavoro come pending. Amazon Linux 2 e il pacchetto kernel standard di Amazon Linux 2023 non disponevano ancora di correzioni.
Gli amministratori dovrebbero installare il kernel corretto della propria distribuzione non appena diventa disponibile e continuare a controllare gli advisory dei vendor nei casi in cui il rilascio sia ancora pending. Gli advisory non stabiliscono che disabilitare MPTCP o bloccare le richieste di connessione contenenti IP options riduca l'esposizione; tali misure non devono quindi essere considerate sostituti confermati del patching. Per le organizzazioni che stanno esaminando i sistemi Linux esposti e i piani di patching, AEU-I offre servizi IT, infrastrutturali e di consulenza incentrati innanzitutto sulla sicurezza.