Linux-kernel TCP-kwetsbaarheid (CVSS 9.8) treft Ubuntu, Red Hat en andere distributies

Een fout in de TCP-code van de Linux-kernel, geregistreerd als CVE-2026-98432, treft Ubuntu, Red Hat Enterprise Linux (RHEL) en andere Linux-distributies. Het eigen CVE-team van de kernel geeft de kwetsbaarheid een score van 9,8 op de CVSS-schaal.

Anthropic zei op 27 oktober dat zijn AI-model een exploit schreef die de fout gebruikt om een externe aanvaller zonder inloggegevens commando’s als root uit te laten voeren op Linux-servers met een multipath TCP-listener.

Per 29 oktober hebben Ubuntu en RHEL nog geen gefixeerde kernel uitgebracht. Red Hat, Amazon, Oracle en SUSE geven de fout lagere scores tussen 5,9 en 8,1, lager dan de 9,8 van het kernelteam.

De fout is een race-conditie in de code die nieuwe IPv4-TCP-verbindingen opzet. Daardoor kan de kernel geheugen lezen dat al is vrijgegeven, een bugtype dat bekendstaat als use-after-free (gebruik-na-vrijgave).

De kernel-fix vermeldt Anthropic-onderzoeker Xinyang Ge als melder van de bug. Noch het CVE-record, noch de fix noemt multipath TCP (MPTCP). De koppeling tussen die functie en deze bug komt uit Anthropic’s bericht.

MPTCP maakt het mogelijk dat één verbinding meerdere netwerkpaden tegelijk gebruikt. Op Linux moet een applicatie MPTCP aanvragen wanneer ze een socket opent. Sinds Go 1.24 doen Go-programma’s dat standaard voor de sockets waarop ze luisteren, aldus het Go Security Team op 29 oktober.

Anthropic schrijft dat de fout “upstream is gepatcht en teruggeport naar alle onderhouden stabiele kernelbranches.” Voor gebruikers van distributies komt die fix echter pas binnen via het kernelpakket van de leverancier. Debian, Oracle Linux, SUSE en Amazon Linux hebben gefixeerde pakketten geleverd, althans voor sommige van hun kernels, maar Ubuntu en RHEL nog niet.

Welke distributies een fix hebben

Ubuntu vermeldt ook dat zijn cloud-, FIPS- en realtime-kernels kwetsbaar zijn of dat de status “in uitvoering” is. Op 29 oktober zei Red Hat dat zijn fixes “momenteel uitgesteld zijn naar een toekomstige update.” Op 30 oktober zette Red Hat RHEL 8, 9 en 10 en OpenShift 4 echter als Getroffen in plaats van “Fix deferred.” Noch Red Hat noch Ubuntu geeft een releasedatum.

Hoe de bug werkt

De race treedt op tijdens de TCP-handshake. Wanneer een verbinding is voltooid, geeft de kernel de IP-opties die bij het hangende verzoek horen aan de nieuwe socket zonder ze te kopiëren.

Als die socket wordt vernietigd terwijl een andere CPU de opties nog gebruikt om op een opnieuw verzonden verbindingsverzoek te antwoorden, leest de kernel vrijgegeven geheugen.

IPv6 wordt niet getroffen door deze race omdat de kernel de opties voor IPv6-verbindingen wèl kopieert.

De bug werd geïntroduceerd in Linux 4.4. Kernelontwikkelaars brachten op 5 oktober een fix aan, tien dagen voordat het CVE werd gepubliceerd.

De fix zorgt ervoor dat de kernel wacht totdat andere CPU’s klaar zijn met het lezen van de opties voordat die worden vrijgegeven.

Waarom de scores verschillen

Het kernel CVE-team voegde de 9,8-score toe aan het CVE-record op 24 oktober, negen dagen na publicatie van het CVE.

Die score gaat uit van een aanvaller die een TCP-verbindingverzoek stuurt met IPv4 Record Route- of Timestamp-opties en het verzoek vervolgens opnieuw verzendt om de race te winnen. Het team beoordeelde de complexiteit van de aanval als laag, omdat beide zijden van de race “door de aanvaller geïnduceerd” zijn.

In dat scenario zegt het team dat de bug buurkernelgeheugen naar de aanvaller kan terugsturen, kernelgeheugen kan corrupt maken of het systeem kan laten crashen.

Op 28 oktober had de National Vulnerability Database (NVD) nog geen eigen score toegevoegd en toonde zij de 9,8 van het kernelteam. Ook Ubuntu’s pagina toont die score.

Red Hat’s CVE-pagina beoordeelt de fout als Gemiddeld en geeft 5,9 omdat de race moeilijk te winnen is. Red Hat zegt dat het meest waarschijnlijke resultaat een kernelcrash is, met geheugenbeschadiging theoretisch mogelijk, en dat “geen impact op vertrouwelijkheid of integriteit is aangetoond.”

Red Hat’s machineleesbare adviesbestand, bijgewerkt op 29 oktober, noemt de impact Belangrijk en geeft een score van 8,1, met hoge vertrouwelijkheids- en integriteitsimpact. Red Hat’s bugtracker veranderde diezelfde dag de ernst van medium naar hoog. Op die dag toonde de CVE-pagina nog Gemiddeld en 5,9.

Oracle en SUSE scoren de fout ook met 8,1, met dezelfde CVSS-vector als Red Hat’s adviesbestand. Die scores komen overeen met het kernelteam op elk criterium behalve aanvalcomplexiteit, die de leveranciers als hoog beoordelen terwijl het kernelteam die laag inschat. Amazon geeft een score van 7,0.

Wat Anthropic zegt te hebben gebouwd

Anthropic beschreef de Linux-exploit in een bericht van 27 oktober over fouten die zijn AI-model, Claude, vond en exploiteerde. The Hacker News behandelde het bericht op 28 oktober. Claude schreef de exploit na “initiële prompting”, aldus Anthropic.

De exploit werkt in twee stappen. Eerst laat de race de kernel extra bytes terugsturen naar de aanvaller. Zodra één van die antwoorden een kerneladres bevat, kan de aanvaller KASLR omzeilen, de geheugenadres-randomisatie van de kernel.

Tweede, dezelfde bug veroorzaakt een bufferoverflow en overschrijft een callback-pointer met het adres van een payload die de aanvaller al in kernelgeheugen had geplaatst. Wanneer de kernel die pointer oproept, voert de payload een shell-commando uit naar keuze van de aanvaller als root.

Een verloren race faalt alleen dat ene verbindingspoging en veroorzaakt geen crash van het systeem, dus een aanvaller kan blijven proberen, aldus het bedrijf. In hun test kostte het lekken van een kerneladres 48 minuten, en het bereiken van commando-executie nog eens 5 minuten.

Het bericht bevat niet de exploitcode, de kernelversie of de configuratie die Anthropic testte.

Red Hat zegt dat een externe aanvaller die een blootgestelde TCP-service kan bereiken de race zou kunnen triggeren. De root-exploit van Anthropic richtte zich echter op servers met een multipath TCP-listener. Het bericht vermeldt niet of servers zonder zo’n listener op dezelfde manier kunnen worden overgenomen.

Per 29 oktober melden geen van de vendoradviezen, het CVE-record of Anthropic’s bericht aanvallen die de fout hebben gebruikt. De fout verschijnt niet in een kopie van CISA’s Known Exploited Vulnerabilities-catalogus die Luxembourg’s CIRCL op 28 oktober bijwerkte.

Wat te doen nu

Als uw distributie een gefixeerde kernel heeft uitgebracht, installeer die dan. De tabel hierboven geeft de pakketten en adviezen voor Debian, Oracle Linux, SUSE en Amazon Linux.

Als u uw eigen kernel bouwt, zit de fix in Linux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 en 7.3. Het kernel CVE-team raadt aan bij te werken naar de nieuwste stabiele kernel. Het zegt dat de kernelcommunity het niet ondersteunt om individuele fixes te cherry-picken.

Ubuntu, RHEL en sommige Amazon Linux- en SUSE-releases hebben nog geen gefixeerde kernel om te installeren. Red Hat zegt dat geen beschikbare mitigatie voldoet aan zijn criteria om gemakkelijk uit te rollen, geschikt voor de meeste installaties en stabiel te zijn. Geen van de andere distributieadviezen noemt een dergelijke mitigatie.

De adviezen van de distributies en Anthropic’s bericht zeggen niet of het uitschakelen van multipath TCP in de kernel, of het blokkeren van inkomende verbindingsverzoeken die IP-opties dragen, het risico zou verlagen.

Voor Go-programma’s zegt het Go Security Team dat het instellen van GODEBUG=multipathtcp=0 in de omgeving van een programma MPTCP standaard uitschakelt tijdens runtime. Het toevoegen van godebug multipathtcp=0 aan het hoofdmodulebestand go.mod doet hetzelfde tijdens het builden, maar code die SetMultipathTCP aanroept overschrijft beide.

Het team noemt het per-programma uitschakelen van MPTCP een fragiele mitigatie. Eén enkele MPTCP-listener die blootstaat laat een systeem nog steeds kwetsbaar, en de aanpak gaat ervan uit dat elke werkende exploit afhankelijk is van MPTCP.

Het team zegt ook dat de onderliggende bug niet specifiek is voor MPTCP, dat systemen zonder MPTCP-listeners mogelijk kwetsbaar zijn voor vergelijkbare aanvallen, en dat de beste oplossing is te upgraden naar een gepatchte kernel.

(Het artikel is bijgewerkt op 30 oktober om de richtlijnen van het Go Security Team voor Go-programma’s toe te voegen en om weer te geven dat Red Hat nu RHEL 8, 9 en 10 en OpenShift 4 als Getroffen in plaats van “Fix deferred” vermeldt.)