Kritická zraniteľnosť TCP v jadre Linux

30. októbra 2026

V jadre operačného systému Linux bola identifikovaná zraniteľnosť CVE-2026-98432, ktorá sa týka spracovania prichádzajúcich IPv4 TCP spojení. Súbeh operácií môže viesť k použitiu už uvoľnenej pamäte (use-after-free). Bezpečnostní výskumníci opísali úspešné vzdialené vykonanie príkazov s oprávneniami root proti systému s počúvajúcim MPTCP socketom, bez prihlasovacích údajov a interakcie používateľa.

Administrátorom odporúčame prednostne preveriť systémy založené na OS Linux s akýmikoľvek TCP službami dostupnými z internetu alebo nedôveryhodných sietí a nasadiť opravené jadro OS. Medzi potenciálne zasiahnuté systémy patria webové servery, e-maillové servery, verejne prístupné TCP ústredne, VPN servery s protokolom TCP ako napríklad OpenVPN. Samotná chyba nie je obmedzená na MPTCP; jeho vypnutie nemožno považovať za úplné odstránenie rizika.

Popis a podmienky zneužitia

Zraniteľnosť vzniká pri spracovaní opakovanej požiadavky na vytvorenie TCP spojenia so špeciálne vytvorenými paketmi, obsahujúcimi IPv4 voľby. Tieto voľby môže dodať vzdialený odosielateľ v IP hlavičke. Aplikácia na serveri ich nemusí osobitne zapnúť. Ide o polia IPv4 options, nie o TCP timestamps, MSS alebo window scaling.

Zneužitie je možné ak server prijíma TCP spojenia. Bežná odchádzajúca TCP komunikácia klienta nie je zraniteľná. Zraniteľnosť súvisí s IPv4, nie IPv6.

Stav zverejnenia a zneužívania

Zraniteľnosť CVE-2026-98432 bola publikovaná už 15. októbra 2026, avšak predpokladalo sa, že má oveľa nižší dopad. Správa Anthropic z 27. októbra však následne demonštrovala zneužitie tejto zraniteľnosti v laboratórnych podmienkach na vzdialené získanie oprávnení administrátora (používareľ root) cez MPTCP listener. Ku dňu 30. októbra vzniklo viacero repozitárov, ktoré demonštrujú zneužitie zraniteľnosti inými spôsobmi, avšak žiadny nám známy repozitár zatiaľ nezverejnil plne funkčný zdrojový kód.

ZASIAHNUTÉ SYSTÉMY
Zraniteľné sú verzie jadra Linux od 4.4:

5.10 staršie ako 5.10.272
5.15 staršie ako 5.15.223
6.1 staršie ako 6.1.190
6.6 staršie ako 6.6.159
6.12 staršie ako 6.12.113
6.18 staršie ako 6.18.56
7.2 staršie ako 7.2.10
7.3 – aktuálne opravené, oprava vydaná už v 7.3-rc7

Rôzne Linux distribúcie typicky opravujú aj staršie verzie balíkov. Porovnanie základného čísla verzie preto nemusí stačiť:

Debian uvádza opravené balíky 6.1.190-1 pre Bookworm a 6.12.113-1 pre Trixie.
Ubuntu ku dňu tohto varovania pri jadrách 22.04, 24.04, 26.04 a 26.10 nemá dostupnú záplatu, sledujte preto stránky výrobcu.
Red Hat označuje RHEL 8, 9 a 10 za zraniteľné; vydanie opráv je odložené. RHEL 7 podľa výrobcu nie je touto zraniteľnosťou dotknutý.
SUSE a openSUSE uvádzajú opravy pre časť produktov a balíkov; pri ďalších zostáva oprava v príprave alebo stav „Affected“. Dostupnosť overte podľa konkrétneho produktu, servisného balíka a variantu jadra.
Oracle Linux uvádza opravy jadier UEK pre vydania 7 až 10 prostredníctvom oznámení ELSA-2026-500397, ELSA-2026-500398 a ELSA-2026-500399. Tieto oznámenia sa netýkajú alternatívneho jadra RHCK.
Amazon Linux uvádza opravy balíkov kernel6.12 a kernel6.18 pre Amazon Linux 2023. Pri ostatných uvedených balíkoch jadra pre Amazon Linux 2 a 2023 zostáva stav „Pending Fix“.
CentOS Linux už nedostáva aktualizácie projektu CentOS. Pri CentOS Stream overte konkrétny balík jadra; stav opráv RHEL nemožno automaticky preniesť na CentOS Stream.
Pri AlmaLinux a Rocky Linux sledujte oznámenia výrobcu. Konkrétne opravené balíky pre túto zraniteľnosť sme v týchto distribúciách zatiaľ nepotvrdili.

Zasiahnuté sú tiež komerčné zariadenia a výrobky, založené na OS Linux. Vyčerpávajúci zoznam neexistuje, sledujte stránky výrobcov alebo sa ich priamo opýtajte.

Možné následky

Narušenie dostupnosti: pád jadra a zneprístupnenie služieb.
Narušenie dôvernosti a integrity: únik alebo poškodenie pamäte, až vzdialené vykonanie príkazov s oprávneniami root.
Dopad a spoľahlivosť útoku nie sú rovnaké pre všetky verzie a konfigurácie.

Odporúčania

ak je dostupná aktualizácia jadra OS, vykonajte bezodkladnú aktualizáciu zraniteľných systémov a následný reštart
aplikujte dočasné firewallové pravidlá, blokujúce pakety s IP voľbami (viď kapitola Dočasné opatrenia). Pozor, toto opatrenie môže mať negatívne dopady na prevádzkované služby.
inventarizujte lokálne IPv4 TCP služby a ich dostupnosť z jednotlivých sietí a internetu, vrátane manažmentu, proxy, VPN a iných služieb.
kým oprava nie je dostupná, obmedzte dosah TCP služieb na dôveryhodné zdroje. Kritické služby bez primeranej ochrany izolujte.

Dočasné opatrenia pre Linux

Firewallové pravidlo

Pre zdokumentovanú paketovú cestu možno obmedziť riziko blokovaním IPv4 TCP paketov s IP voľbami pred doručením lokálnemu TCP stacku.

Základný nftables predikát:

ip protocol tcp ip hdrlength > 5 counter drop

Hodnota IHL 5 znamená štandardnú 20-bajtovú IPv4 hlavičku. Opatrenie neblokuje bežné TCP voľby, ale môže narušiť legitímnu prevádzku používajúcu IPv4 options.

Príklad pre lokálne služby:

table ip cve_2026_98432_guard {
  chain local_input {
    type filter hook input priority -10; policy accept;
    ip protocol tcp ip hdrlength > 5 counter drop
  }
}

Pravidlá najprv overte pomocou nft -c -f SUBOR a začleňte do existujúcej správy firewallu. Samostatný INPUT reťazec nepokrýva forwardovanú prevádzku ani všetky kontajnerové namespace. Pre backendy je potrebné pravidlo v príslušnej FORWARD ceste alebo na cieľovom systéme. Overte tunely, fragmentáciu a umiestnenie filtrovania.

Vypnutie MPTCP

Ak MPTCP nepoužívate, možno doplnkovo nastaviť net.mptcp.enabled=0. Nastavenie je samostatné pre sieťové namespace a riadi vytváranie socketov; existujúce listenery je potrebné riešiť osobitne. Go GODEBUG=multipathtcp=0 mení predvolené správanie, ktoré môže aplikácia explicitne prepísať. Nejde o úplnú mitigáciu.

Vybrané firewally a IPS

pfSense: overte, že relevantné pass pravidlá nemajú zapnuté Allow IP Options. Dokumentácia uvádza ich predvolené blokovanie. Skontrolujte výnimky a vnútornú prevádzku tunelov.
PAN-OS: v Zone Protection Profile použite Packet Based Attack Protection > IP Drop > IP Option Drop a profil priraďte príslušnej vstupnej zóne. Vyhodnoťte všetky potrebné kategórie; blokovanie iba source routing alebo odstránenie TCP Timestamp nie je ekvivalentom blokovania všetkých IPv4 options. Dostupnosť manažmentového portu overte osobitne.
TNSR: VPF podporuje runtime drop-options ip4 true; predvolene je táto voľba false (treba zmeniť). Globálne blokovanie IP volieb môže ovplyvniť aj netcp prevádzku.
Ostatné zariadenia: vyžiadajte si dodávateľom podporovaný ekvivalent filtrovania, pevné verzie firmvéru a prípadné ID IPS signatúry.
IPS nastavte na blokovanie relevantných paketov, nie iba alert. Pasívne IDS prevádzku nezastaví. Overte, že kontrola nastáva pred zraniteľným endpointom a platí aj pri offloade a HA failoveri.

Detekcia a preverenie kompromitácie

V súčasnosti nie sú potvrdené univerzálne IOC ani sieťová signatúra jednoznačne dokazujúca úspešné zneužitie.

Sledujte IPv4 TCP SYN pakety s IHL > 5, počítadlá drop pravidiel a opakované neobvyklé pokusy o handshake. Samotné IP voľby, retransmisie alebo RST nie sú dôkaz útoku.

V IDS použite dekódované polia IPv4 hlavičky; produkčné pravidlo otestujte na legitímnej aj blokovanej prevádzke.

Pre krátke diagnostické sledovanie na podporovanom Linux systéme:

tcpdump -ni <rozhranie> 'ip proto 6 and (ip[0] & 0x0f) > 5'

Filter ukazuje TCP prevádzku s IPv4 options, vrátane potenciálne legitímnej komunikácie. Pri tuneloch sledujte aj vnútorné rozhranie.

Preverte pády jadra a hlásenia use-after-free súvisiace s ip_options_build, tcp_v4_syn_recv_sock alebo inet_sock_destruct; ich neprítomnosť nevylučuje kompromitáciu. Logy uchovávajte mimo sledovaného systému. Pri podozrení na získanie root oprávnení systém izolujte, zachovajte dôkazy a kontaktujte SK-CERT.

Zdroje

https://nvd.nist.gov/vuln/detail/cve-2026-98432
https://www.anthropic.com/research/discovering-vulnerabilities-with-claude
https://lists.openwall.net/linux-cve-announce/2026/10/15/1
https://openwall.com/lists/oss-security/2026/10/30/1
https://security-tracker.debian.org/tracker/CVE-2026-98432
https://ubuntu.com/security/CVE-2026-98432

« Späť na zoznam