Dobësia në Linux kernel lë Ubuntu dhe RHEL në pritje të rregullimeve
Dobësia CVE-2026-98432 në Linux kernel prek kernel, softuerin bazë që kontrollon një sistem Linux, dhe mënyrën se si ai trajton lidhjet Transmission Control Protocol (TCP). Ekipi CVE i Linux kernel i caktoi asaj një rezultat 9.8 nga 10 sipas Common Vulnerability Scoring System (CVSS), i cili rendit ashpërsinë e cenueshmërive. Anthropic raportoi më 27 tetor se modeli i saj AI prodhoi një exploit të aftë për të ekzekutuar komanda si root, llogaria e sistemit me privilegjet më të larta, pa kredenciale kundër një serveri Linux me një listener multipath TCP. Deri më 29 tetor, Ubuntu dhe Red Hat Enterprise Linux (RHEL) nuk kishin në dispozicion paketa kernel të rregulluara.
Defekti themelor është një race condition, që do të thotë se dy operacione mund të ndërveprojnë në një rend të pasigurt për shkak të mbivendosjes së kohës së tyre, gjatë konfigurimit të lidhjeve të reja IPv4 TCP. Pasi përfundon handshake i lidhjes, kernel i jep lidhjes së re akses te opsionet IP të ruajtura pa krijuar më parë një kopje të veçantë. Nëse lidhja shkatërrohet ndërkohë që një procesor tjetër ende po i konsulton ato opsione për t'iu përgjigjur një kërkese të përsëritur, kernel mund të hyjë në memorie që tashmë është liruar. Kjo njihet si një dobësi use-after-free. IPv6 nuk ka të njëjtin problem, sepse kodi i tij i lidhjes i kopjon opsionet përkatëse.
Gabimi hyri në Linux në versionin 4.4. Zhvilluesit e kernel aplikuan një korrigjim upstream më 5 tetor, dhjetë ditë përpara publikimit të CVE. Ndryshimi e shtyn lirimin e opsioneve derisa procesorët e tjerë të kenë përfunduar leximin e tyre. Anthropic tha se korrigjimi u shtua gjithashtu në degët stable të kernel që mirëmbahen, por personat që përdorin kernel të ofruar nga distribution duhet të presin që ofruesi i tyre Linux ta paketojë dhe ta publikojë atë. Për organizatat që kompilojnë vetë kernel, versionet e rregulluara të listuara nga ekipi i kernel janë 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 dhe 7.3. Ekipi rekomandon kalimin te stable kernel më i ri, në vend që ky ndryshim të përzgjidhet dhe të aplikohet më vete.
Anthropic e lidhi cenueshmërinë me Multipath TCP (MPTCP), një veçori që lejon një lidhje të përdorë disa rrugë rrjeti. Në Linux, softueri duhet ta kërkojë posaçërisht MPTCP kur hap një lidhje. As regjistrimi CVE dhe as korrigjimi upstream nuk e përcaktojnë MPTCP si kërkesë, ndërsa Anthropic nuk vërtetoi nëse e njëjta teknikë e marrjes së kontrollit funksionon kundër serverëve pa një listener MPTCP.
Sipas Anthropic, modeli i saj AI shkroi një exploit me dy faza pas udhëzimeve fillestare. Faza e parë e aktivizoi vazhdimisht race condition derisa një përgjigje zbuloi pjesë të afërta të memories së kernel, përfshirë një adresë që i lejoi exploit të anashkalonte Kernel Address Space Layout Randomization (KASLR), i cili normalisht i bën më të vështira për t'u parashikuar vendndodhjet e rëndësishme të kernel. Faza e dytë e përdori dobësinë për të shkaktuar overflow në një zonë memorieje dhe për të zëvendësuar një callback pointer me vendndodhjen e udhëzimeve të kontrolluara nga sulmuesi, të vendosura paraprakisht në memorien e kernel. Kur kernel ndoqi atë pointer, ai ekzekutoi si root një komandë të zgjedhur nga sulmuesi.
Anthropic tha se një përpjekje e pasuksesshme për race condition thjesht bënte që ajo përpjekje lidhjeje të dështonte, duke lejuar tentativa të përsëritura pa shkaktuar crash të sistemit. Në testin e saj, sigurimi i një adrese kernel zgjati 48 minuta, pasuar nga pesë minuta të tjera për të arritur ekzekutimin e komandës. Kompania nuk e publikoi exploit, nuk identifikoi versionin e testuar të kernel dhe nuk bëri të ditur konfigurimin e përdorur. Deri më 29 tetor, asnjë advisory nga ofruesit, hyrje CVE apo publikim i Anthropic nuk kishte raportuar sulme që shfrytëzonin dobësinë. Ajo mungonte gjithashtu në kopjen e katalogut Known Exploited Vulnerabilities të CISA, të përditësuar për herë të fundit nga CIRCL i Luksemburgut më 28 tetor.
Vlerësimet e ashpërsisë ndryshojnë, sepse ofruesit nuk pajtohen se sa e vështirë është të fitohet race condition. Ekipi CVE i kernel shtoi vlerësimin e tij 9.8 më 24 tetor dhe e trajtoi attack complexity si të ulët, sepse një sulmues mund t'i krijojë të dyja ngjarjet konkurruese duke dërguar një kërkesë lidhjeje IPv4 me opsionet Record Route ose Timestamp dhe më pas duke e përsëritur atë. Ekipi thotë se rezultatet e mundshme përfshijnë zbulimin e pjesëve të afërta të memories së kernel, memory corruption ose system crash. National Vulnerability Database nuk kishte dhënë një rezultat të veçantë deri më 28 tetor dhe shfaqte vlerësimin e ekipit të kernel.
Faqja CVE e Red Hat e vlerësoi dobësinë si Moderate me 5.9, duke arsyetuar se fitimi i race condition është i vështirë dhe se një crash është rezultati më i mundshëm. Ajo tha se dëmtimi i konfidencialitetit ose integritetit nuk ishte demonstruar, megjithëse memory corruption ishte teorikisht i mundshëm. Në të kundërt, advisory i Red Hat në format të lexueshëm nga makineritë, i përditësuar më 29 tetor, e klasifikoi atë si Important me 8.1, me ndikim të lartë te konfidencialiteti dhe integriteti, ndërsa bug tracker i saj e ndryshoi ashpërsinë nga mesatare në të lartë. Ofruesi enterprise Linux dhe SUSE i caktuan gjithashtu rezultatin 8.1, duke e trajtuar attack complexity si të lartë. Amazon e vlerësoi me 7.0.
Disponueshmëria e patch në distribution të ndryshme mbetet e pabarabartë. Ubuntu i shënoi versionet 22.04 LTS, 24.04 LTS, 26.04 LTS dhe 26.10 si work in progress, ndërsa 16.04, 18.04 dhe 20.04 u listuan si të cenueshme. Kernel cloud, FIPS dhe real-time të saj ishin gjithashtu të cenueshme ose në pritje të punës. Korrigjimet për RHEL 8, 9 dhe 10 dhe OpenShift 4 u shtynë për një përditësim të ardhshëm, pa datë publikimi, ndërsa RHEL 7 nuk prekej. Red Hat tha se nuk kishte asnjë masë zbutëse që përmbushte kërkesat e saj për përshtatshmëri të gjerë, stabilitet dhe lehtësi vendosjeje.
Paketat e rregulluara ishin në dispozicion për disa sisteme të tjera. Debian trixie mori linux 6.12.113-1 përmes DSA-6568-1 më 16 tetor. Debian 12 mori linux 6.1.190-1 përmes DLA-4841-1 më 17 tetor dhe linux-6.12 6.12.113-1~deb12u1 përmes DLA-4850-1 më 22 tetor. Versionet 7, 8, 9 dhe 10 të distribution enterprise Linux morën korrigjime UEK më 16 tetor përmes ELSA-2026-500397, ELSA-2026-500398 dhe ELSA-2026-500399. SUSE Linux Micro 6.2 dhe openSUSE Leap 16.0 u rregulluan në kernel-default 6.12.0-160000.40.1 ose më të ri, ndërsa disa versione SLES dhe SLE Micro mbetën në testim ose kishin punë në vazhdim.
Amazon Linux 2023 rregulloi paketën e tij kernel6.18 më 24 tetor me kernel6.18-6.18.56-125.164.amzn2023 sipas ALAS2023-2026-3251. Advisory për kernel6.12 listoi kernel6.12-6.12.113-138.209.amzn2023 si të rregulluar më 29 tetor sipas ALAS2023-2026-3335, megjithëse faqja CVE e Amazon ende e shfaqte atë punë si në pritje. Amazon Linux 2 dhe paketa standarde kernel e Amazon Linux 2023 nuk kishin ende rregullime.
Administratorët duhet ta instalojnë kernel e korrigjuar të distribution së tyre sapo të bëhet i disponueshëm dhe të vazhdojnë të kontrollojnë advisory e ofruesve aty ku publikimi është ende në pritje. Advisory nuk vërtetojnë se çaktivizimi i MPTCP ose bllokimi i kërkesave për lidhje që përmbajnë opsione IP do ta zvogëlonte ekspozimin, ndaj këta hapa nuk duhet të trajtohen si zëvendësime të konfirmuara për aplikimin e patch. Për organizatat që shqyrtojnë sistemet Linux të ekspozuara dhe planet e patch, AEU-I ofron shërbime IT, infrastrukture dhe konsulence me sigurinë si përparësi.