Red Hat vá lỗ hổng RCE nghiêm trọng trong TCP của Linux, Ubuntu mới phát hành bản thử nghiệm

Red Hat đã phát hành kernel vá cho lỗ hổng use-after-free trong mã IPv4 TCP của Linux, ảnh hưởng RHEL 8, 9 và 10. Trong khi đó, các bản sửa của Ubuntu cho ba bản LTS mới nhất vẫn nằm trong kênh thử nghiệm tự nguyện, chưa có ngày phát hành chính thức.

Mức độ nghiêm trọng

Lỗ hổng được theo dõi với mã CVE-2026-98432, có thể bị khai thác bởi kẻ tấn công từ xa không cần xác thực và dẫn tới thực thi mã từ xa. Nhóm CVE của kernel Linux chấm lỗ hổng 9,8/10 theo thang CVSS. Red Hat ban đầu xếp mức Moderate 5,9 nhưng đã nâng lên 9,8 và gọi là Critical. Lỗi tồn tại từ Linux 4.4 và bản vá upstream đã có từ tháng 10.

Cơ chế lỗi

Khi máy chủ chấp nhận kết nối IPv4 TCP, kernel chuyển các tùy chọn IP từ yêu cầu đến socket mới mà không sao chép chúng. Nếu client gửi lại yêu cầu kết nối trong lúc bộ xử lý khác vẫn đang đọc các tùy chọn đó, kernel có thể đọc vùng nhớ đã được giải phóng. Kẻ tấn công kích hoạt tình trạng tranh chấp bằng cách gửi yêu cầu kết nối mang tùy chọn IPv4 Record Route hoặc Timestamp tới bất kỳ cổng TCP đang lắng nghe, không cần đăng nhập. IPv6 không bị ảnh hưởng trên đường chính.

Tình hình bản vá

Red Hat phát hành RHSA-2026:93414 (RHEL 8), RHSA-2026:93412 (RHEL 9) và RHSA-2026:93413 (RHEL 10) ngày 1/11, cần khởi động lại sau khi cài.

Canonical cho biết ngày 2/11 rằng bản sửa cho Ubuntu 22.04 LTS, 24.04 LTS và 26.04 LTS đang ở kênh -proposed, không tự động cài đặt. Hãng kiểm thử trên hơn 2.000 máy chủ và thiết bị được chứng nhận trước khi đưa lên kênh cập nhật thường, và chưa công bố ngày phát hành. Quản trị viên cần bản vá sớm có thể bật -proposed và cài đặt thủ công.

Ubuntu 20.04, 18.04 và 16.04 chưa có bản sửa, cần Expanded Security Maintenance qua Ubuntu Pro. Các biến thể kernel cloud, FIPS và real-time đang được xử lý.

Giải pháp tạm thời

Red Hat công bố ngày 30/10 một quy tắc nftables loại bỏ gói TCP IPv4 đến mang tùy chọn IP. Quy tắc chặn tác nhân kích hoạt đã biết nhưng không ngăn được hoàn toàn việc khai thác và có thể làm hỏng các workload phụ thuộc tùy chọn IPv4. Bộ lọc chỉ áp dụng trên máy chủ cài đặt nó; lưu lượng giữa các container cùng máy có thể đi vòng qua.

Một số nguồn khuyến nghị tắt Multipath TCP (MPTCP), nhưng Canonical cho rằng lỗi nằm ở đường IPv4 TCP chứ không phải MPTCP, nên cách này không đủ. Theo Canonical, cập nhật bảo mật là biện pháp giảm thiểu phù hợp duy nhất.

Trạng thái khai thác

Chưa có nhà cung cấp, CERT hay nhóm CVE kernel nào báo cáo tấn công khai thác lỗ hổng này, và nó chưa nằm trong danh mục lỗ hổng bị khai thác đã biết của CISA tính đến bản phát hành ngày 30/10.

Anthropic cho biết ngày 27/10 rằng một mô hình nghiên cứu Claude nội bộ chưa phát hành đã viết được mã khai thác root từ xa nhắm vào máy chủ Linux có listener MPTCP, không cần thông tin đăng nhập và không cần tương tác người dùng. Trong bản thử nghiệm, việc rò rỉ địa chỉ kernel mất 48 phút, đạt shell root thêm 5 phút. Anthropic chưa công bố mã khai thác.

Mã chứng minh khái niệm chỉ kích hoạt tranh chấp và phát hiện kernel trả lại vùng nhớ đã giải phóng trong SYN-ACK đã xuất hiện trên GitHub, nhưng không thực hiện thực thi mã. Amazon Linux chấm lỗ hổng 8,1 và xếp mức Important, cho rằng hậu quả chính là crash kèm khả năng hỏng bộ nhớ. Debian, Oracle Linux và SUSE đã phát hành bản sửa trong tháng 10; Amazon Linux vá xong toàn bộ gói từ 24 đến 30/10.

Nguồn: The Hacker News