Een kwetsbaarheid in de TCP-code van de Linux-kernel, geregistreerd als CVE-2026-98432, treft Ubuntu, Red Hat Enterprise Linux (RHEL) en diverse andere distributies. Het gaat om een race condition tijdens het opzetten van nieuwe IPv4 TCP-verbindingen die kan leiden tot een use-after-free: de kernel leest geheugen dat al is vrijgegeven.
Tijdens de TCP-handshake geeft de kernel IP-opties van een wachtend verbindingsverzoek door aan de nieuwe socket zonder ze te kopiëren. Als die socket wordt afgebroken terwijl een andere CPU nog diezelfde opties gebruikt om op een herhaald verbindingsverzoek te reageren, leest de kernel vrijgegeven geheugen. IPv6 is niet getroffen, omdat de kernel daar de opties wel kopieert. De fout zit al sinds Linux 4.4 in de code. De patch kwam op 5 oktober en laat de kernel wachten tot andere CPU’s klaar zijn met lezen voordat het geheugen wordt vrijgegeven. Het CVE-nummer werd tien dagen later gepubliceerd. Anthropic-onderzoeker Xinyang Ge wordt genoemd als melder van het lek.
Over de ernst lopen de meningen uiteen. Het Linux-kernelteam geeft het lek zelf een CVSS-score van 9,8 en noemt de aanvalscomplexiteit laag: een aanvaller stuurt een verbindingsverzoek met IPv4 Record Route- of Timestamp-opties en herhaalt dat om de race te winnen, wat kan leiden tot geheugenlekkage, geheugencorruptie of een crash. Red Hat beoordeelt het lek op zijn CVE-pagina juist als matig (5,9) en stelt dat een crash het meest waarschijnlijke gevolg is, zonder aangetoonde impact op vertrouwelijkheid of integriteit, al toont het bijbehorende machine-leesbare advies van 29 oktober een score van 8,1. Oracle en SUSE komen ook op 8,1, Amazon op 7,0.
De fix is nog niet overal beschikbaar. Ubuntu werkt nog aan een patch voor de ondersteunde releases, waaronder 22.04, 24.04 en 26.04, terwijl oudere versies zoals 16.04 tot 20.04 eveneens kwetsbaar blijven zonder vastgestelde releasedatum. Bij RHEL 8, 9 en 10 en OpenShift 4 is de fix uitgesteld; RHEL 7 is niet getroffen. Amazon Linux 2023, Oracle Linux (UEK) en Debian hebben inmiddels wel een update uitgebracht, net als SUSE Linux Micro en openSUSE Leap 16.0; andere SUSE-releases zitten nog in de testfase.
Opvallend is een aankondiging van Anthropic op 27 oktober: het eigen AI-model Claude schreef, na wat aansturing, een werkende exploit voor dit lek. Die maakt het mogelijk om als niet-geauthenticeerde aanvaller op afstand als root commando’s uit te voeren op Linux-servers met een MPTCP-listener. De exploit verloopt in twee stappen. Eerst wordt via de race een kernelgeheugenadres gelekt om KASLR te omzeilen, daarna misbruikt een bufferoverflow een callback-pointer om een eerder geplaatste payload als root uit te voeren. In de test van Anthropic duurde het lekken van het adres 48 minuten, de daadwerkelijke code-executie nog eens vijf minuten. Er is geen aanwijzing dat het lek al in het wild wordt misbruikt; het staat niet in de CISA KEV-lijst.
Beheerders van Linux-systemen met TCP-diensten die openstaan voor internet doen er goed aan de kernel te updaten zodra hun distributie een patch uitbrengt, en niet te wachten tot de eigen leverancier dat doet. Het kernelteam raadt zelf af om losse fixes te cherry-picken: installeer de nieuwste stabiele kernel.
Update, 31 oktober: Het patchbeeld is inmiddels iets vollediger. Debian heeft de fix opgenomen in kernel 6.1.190-1 (Bookworm) en 6.12.113-1 (Trixie), en ook Oracle Linux, Amazon Linux en SUSE hebben voor een deel van hun releases updates uitgebracht. Ubuntu en Red Hat moeten voor meerdere ondersteunde versies nog altijd patchen. Red Hat noemt misbruik zelf “ingewikkelder dan het versturen van één kwaadaardig netwerkpakket”, wat de eigen lagere risico-inschatting onderbouwt.
Beheerders die overwegen simpelweg MPTCP uit te schakelen als tussenoplossing, moeten weten dat dat niet voldoende is: de onderliggende race condition is ook via gewone TCP-verbindingen te triggeren, zonder dat Multipath TCP daarbij betrokken is. Een losse waarschuwing geldt voor wie Go-applicaties draait: vanaf Go 1.24 staat MPTCP standaard aan voor TCP-listeners op Linux, waardoor een dienst ongemerkt het MPTCP-pad gebruikt en daarmee vatbaar kan zijn voor de volledige exploitketen. Linux-leverancier CIQ adviseert als tijdelijke maatregel om IPv4 TCP-pakketten met IP-opties, zoals Record Route of Timestamp, te blokkeren via nftables, voor servers die niet op dergelijke opties hoeven te vertrouwen.
Bron: The Hacker News
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.