Claude написал рабочий эксплойт для критической уязвимости в TCP-стеке Linux
TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8
В ядре Linux с версии 4.4 обнаружена уязвимость CVE-2026-98432 (CVSS 9.8) — use-after-free в обработке IPv4 TCP-рукопожатия, позволяющая удалённому неаутентифицированному атакующему выполнить код. Исправление уже вышло в стабильных ядрах, но Ubuntu и RHEL остаются уязвимыми. Исследователь Anthropic сообщил об ошибке, а модель Claude написала рабочий эксплойт для получения root-доступа на серверах с multipath TCP.
Anthropic утверждает, что проигранная гонка «лишь приводит к сбою рукопожатия без падения всей системы, поэтому целеустремлённый атакующий может повторять попытки бесконечно, пока не добьётся успеха».
- asveikau
> TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8
Я знаю, что на HN принято редактировать заголовки, убирая лишнюю информацию, но удаление слова «Linux» здесь действительно убирает что-то полезное и важное. Это уязвимость в Linux. Если вы используете *BSD, Mac или Windows, вы не затронуты.
- peanut-walrus
Несколько моих заметок по этому поводу:
- MPTCP не является обязательным условием, это обычный use-after-free.
- Эксплуатация через интернет маловероятна, большинство маршрутизаторов провайдеров отбрасывают пакеты с полями IP options.
- По крайней мере, согласно Red Hat, самостоятельное отбрасывание пакетов с IP options помогает, но не является полной мерой защиты.
- Успешная эксплуатация требует нескольких ядер CPU для обработки пакетов, поэтому системы с одним ядром или с обработкой пакетов, привязанной к одному ядру, не затронуты.
- swinglock
Почему в Ubuntu и RHEL до сих пор не исправлено? Мало какие операционные системы позиционируют себя как более подходящие для серверов. Что они там делают?
- teekert
Я составляю список RSS-лент по кибербезопасности, чтобы построить небольшую автоматизацию (под присмотром агента Hermes), которая будет уведомлять меня (через ntfy.sh или просто Telegram), когда какая-либо CVE требует моего вмешательства (сопоставляя их со списком сервисов, которые я поддерживаю для клиентов и для себя).
Мой список (лент) пока невелик, но эта CVE в нём не появилась. У кого-нибудь есть советы, какие RSS-ленты использовать для этой цели?
- grey-area
Патчей для Ubuntu или Red Hat пока нет.
- Shank
По крайней мере, если вы на Amazon Web Services за балансировщиком нагрузки, вы, вероятно, не настолько затронуты, чтобы тратить Хэллоуин на патчинг.
> AWS Web Application Firewall, Application Load Balancer, Classic Load Balancer, TLS Listeners on Network Load Balancer, Cloud Front, API Gateway
> Клиенты, использующие вышеуказанные сервисы, не получают TCP-соединения из недоверенных источников напрямую, если следуют лучшим практикам. AWS применяет обновления к базовой инфраструктуре этих сервисов, и немедленных действий со стороны клиентов не требуется, если вы используете эти сервисы. Мы по-прежнему рекомендуем клиентам обновить свои самостоятельно управляемые экземпляры за этими сервисами в течение следующих 30 дней.
[0]: https://aws.amazon.com/security/security-bulletins/2026-160-...
- winwang
Всё нормально, ребята, авторы просто не умеют писать хороший C. Настоящий C-программист не выпустил бы такую элементарную ошибку use-after-free. Rust — это просто костыль.
- 9cb14c1ec0
Полагаю, я не единственный, кто чувствует себя измотанным этой волной уязвимостей, за которой я каким-то образом должен успевать?