Red Hat corregge una falla critica di Linux TCP; gli aggiornamenti di Ubuntu sono ancora in fase di test

RED Hat ha rilasciato aggiornamenti del kernel per una vulnerabilità critica di tipo use-after-free nel codice IPv4 TCP di Linux. Identificata come CVE-2026-98432, la falla può essere attivata da remoto senza autenticazione e potrebbe consentire l’esecuzione di codice. Il team CVE del kernel Linux le assegna un punteggio di 9,8 su 10 nella scala CVSS; Red Hat ha innalzato la propria valutazione da Moderate a Critical, assegnandole anch’essa un punteggio di 9,8.

Il bug si verifica quando un server accetta una connessione IPv4 TCP e il kernel gestisce le opzioni IP fornite con la richiesta. Se un client ritrasmette la richiesta mentre un altro processore sta ancora leggendo quelle opzioni, il kernel potrebbe accedere a una porzione di memoria già liberata. L’attivazione richiede l’invio di richieste di connessione con opzioni IPv4 Record Route o Timestamp a una porta TCP in ascolto. Il percorso principale IPv6 non è interessato.

Red Hat ha rilasciato gli aggiornamenti per RHEL 8, 9 e 10 il 1° novembre. I kernel corretti sono 4.18.0-553.182.1.el8_10 per RHEL 8.10, 5.14.0-687.64.1.el9_8 per RHEL 9.8 e 6.12.0-211.72.1.EL10_2 per RHEL 10.2. Dopo l’installazione, i sistemi devono essere riavviati.

Il 2 novembre Canonical ha dichiarato che le correzioni per Ubuntu 22.04 LTS, 24.04 LTS e 26.04 LTS sono disponibili nel pocket -proposed, un canale di test a iscrizione facoltativa i cui pacchetti non vengono installati automaticamente. Le versioni proposte del kernel sono rispettivamente 5.15.0-203.213, 6.8.0-149.149 e 7.0.0-43.43. Canonical non ha annunciato quando arriveranno nel canale regolare degli aggiornamenti. Ubuntu 20.04, 18.04 e 16.04 non dispongono ancora di correzioni.

Red Hat ha anche pubblicato una regola nftables pensata per scartare i pacchetti IPv4 TCP in ingresso che contengono opzioni IP. L’azienda afferma che la regola blocca il meccanismo noto di attivazione, ma non impedisce completamente lo sfruttamento della vulnerabilità e potrebbe causare problemi ai carichi di lavoro che dipendono dalle opzioni IPv4. Si applica solo all’host su cui viene caricata; il traffico tra container sullo stesso host potrebbe aggirarla.

Nessun fornitore, CERT o il team CVE del kernel ha segnalato attacchi che sfruttino la falla, che non figurava nemmeno nel catalogo Known Exploited Vulnerabilities di CISA nell’edizione del 30 ottobre. Anthropic ha dichiarato che un modello interno di ricerca non ancora rilasciato aveva generato un exploit per ottenere l’accesso root da remoto sui server Linux con un listener MPTCP, ma il codice dell’exploit non è stato pubblicato. Su GitHub è apparso del codice proof-of-concept che attiva la race condition, ma non consente l’esecuzione di codice.

Debian, Oracle Linux e SUSE hanno rilasciato correzioni a ottobre. Amazon Linux ha valutato il problema 8,1 e Important, citando un crash con possibile corruzione della memoria, e ha dichiarato di aver aggiornato i pacchetti interessati tra il 24 e il 30 ottobre.

Fonti: The Hacker News.