😁 Ubuntu предложила временную защиту от критической уязвимости ядра Linux На странице CVE-2026-98432 в базе безопасности Ubuntu появилась инструкция по временной фильтрации входящих IPv4/TCP-пакетов с дополнительными параметрами заголовка IPv4 через nftables. Мера призвана снизить риск эксплуатации критической уязвимости сетевого стека Linux, получившей оценку 9,8 балла по CVSS 3.1. При этом команда безопасности Canonical подчёркивает, что полноценное устранение проблемы требует обновления ядра, поскольку фильтрация не гарантирует защиту от всех возможных способов эксплуатации. Уязвимость возникает из-за состояния гонки при обработке TCP-соединений. Когда одно ядро процессора освобождает память, содержащую параметры IPv4, другое может продолжать обращаться к уже освобождённому участку. Возникает ошибка use-after-free, которая позволяет злоумышленнику вызвать повреждение памяти ядра, отказ в обслуживании и потенциально добиться удалённого выполнения кода. ИБ-исследователи Anthropic продемонстрировали успешную эксплуатацию уязвимости с помощью неопубликованной исследовательской ИИ-модели Claude, получив возможность выполнять команды с правами root на Linux-сервере с прослушивающим MPTCP-сокетом. Полную цепочку эксплуатации Anthropic не опубликовала, а в самой Canonical отметили, что о появлении в открытом доступе других готовых эксплойтов для этой уязвимости им неизвестно. Предложенная фильтрация отбрасывает входящие IPv4/TCP-пакеты, содержащие дополнительные поля параметров IPv4. Обычные параметры TCP, включая временные метки и масштабирование окна, продолжают работать, поскольку находятся в заголовке TCP, а не IPv4. Правило не затрагивает IPv6, но может нарушить соединения, которым действительно необходимы параметры IPv4. Кроме того, приведённый пример nftables применяется к самому хосту (включая соединения хоста с самим собой), а в контейнерах с отдельной сетью правило необходимо настраивать отдельно. Отключение MPTCP также не гарантирует устранения угрозы, поскольку уязвимость не ограничена исключительно этим механизмом. По состоянию на 3 ноября 2026 года Canonical продолжает выпуск исправлений. Для стандартных ядер Ubuntu 22.04 LTS, 24.04 LTS и 26.04 LTS исправленные пакеты уже доступны в тестовом репозитории -proposed, но не устанавливаются при обычном обновлении. Статус других вариантов ядер, включая HWE, необходимо проверять отдельно. Для Ubuntu 26.10 в официальном сообщении Canonical указана исправленная версия 7.3.0-10.10, хотя страница отслеживания CVE пока сохраняет для неё статус работы над исправлением. Поэтому администраторам необходимо сверять установленную версию ядра с данными Canonical, а временную фильтрацию рассматривать исключительно как дополнительную меру до установки исправления. 👆По данным ИБ-исследователя Маркуса Хатчинса, готовых эксплойтов для удалённого выполнения кода в открытом доступе сейчас нет, однако в сети уже появились PoC для вызова отказа в обслуживании, которые дают злоумышленникам отправную точку для создания полноценного эксплойта. Его сканирование показало, что потенциальная поверхность атаки по порту 443 охватывает около 2,1 млн доступных по MPTCP серверов, поскольку этот протокол по умолчанию включён в ряде ядер (включая Debian) и автоматически используется приложениями на базе Go 1.24+ (в том числе Caddy). При этом со 2 ноября через резидентные прокси и BПH-серверы фиксируется сканирование таких узлов, а отключение протокола через параметр net.mptcp.enabled=0 не действует на уже открытые сокеты и требует перезапуска привязанных к ним приложений. ✋ @Russian_OSINT