A RED Hat lançou atualizações de kernel para uma vulnerabilidade crítica de uso após liberação de memória no código IPv4 TCP do Linux. Identificada como CVE-2026-98432, a falha pode ser acionada remotamente, sem autenticação, e permitir a execução de código. A equipe de CVEs do kernel do Linux atribui à vulnerabilidade nota 9,8 de 10 na escala CVSS; a Red Hat elevou sua avaliação de Moderada para Crítica, também atribuindo nota 9,8.

O bug ocorre quando um servidor aceita uma conexão IPv4 TCP e o kernel processa as opções IP fornecidas com a solicitação. Se um cliente retransmitir a solicitação enquanto outro processador ainda estiver lendo essas opções, o kernel poderá acessar memória que já foi liberada. O acionamento envolve o envio de solicitações de conexão com as opções IPv4 Record Route ou Timestamp para uma porta TCP em escuta. O IPv6 não é afetado no caminho principal.

A Red Hat lançou atualizações para o RHEL 8, 9 e 10 em 1º de novembro. Os kernels corrigidos são 4.18.0-553.182.1.el8_10 para o RHEL 8.10, 5.14.0-687.64.1.el9_8 para o RHEL 9.8 e 6.12.0-211.72.1.EL10_2 para o RHEL 10.2. É necessário reiniciar os sistemas após a instalação.

A Canonical informou em 2 de novembro que as correções para Ubuntu 22.04 LTS, 24.04 LTS e 26.04 LTS estão disponíveis no pocket -proposed, um canal de testes opcional cujos pacotes não são instalados automaticamente. As versões propostas do kernel são, respectivamente, 5.15.0-203.213, 6.8.0-149.149 e 7.0.0-43.43. A Canonical não anunciou quando elas chegarão ao canal regular de atualizações. Ubuntu 20.04, 18.04 e 16.04 ainda não têm correções.

A Red Hat também publicou uma regra nftables destinada a descartar pacotes IPv4 TCP de entrada que contenham opções IP. A empresa afirma que a regra bloqueia o método de acionamento conhecido, mas não impede totalmente a exploração e pode interromper cargas de trabalho que dependem de opções IPv4. Ela se aplica somente ao host em que é carregada; o tráfego entre contêineres no mesmo host pode contorná-la.

Nenhum fornecedor, CERT ou a equipe de CVEs do kernel relatou ataques que explorem a falha, e ela não constava no catálogo Known Exploited Vulnerabilities da CISA na edição de 30 de outubro. A Anthropic afirmou que um modelo interno de pesquisa ainda não lançado havia produzido um exploit remoto de root para servidores Linux com um listener MPTCP, mas o código do exploit não foi publicado. Um código de prova de conceito que aciona a condição de corrida apareceu no GitHub, mas não consegue executar código.

Debian, Oracle Linux e SUSE lançaram correções em outubro. A Amazon Linux classificou o problema como Importante, com nota 8,1, citando uma falha com possível corrupção de memória, e informou que atualizou os pacotes afetados entre 24 e 30 de outubro.

Fontes: The Hacker News.