Linux çekirdeğinin TCP kodundaki 9.8 puanlı açık için Red Hat ve Ubuntu düzeltilmiş çekirdekleri yayımladı

Linux çekirdeğinde, IPv4 üzerinden yeni TCP bağlantılarını kuran koddaki CVE-2026-98432, Ubuntu ve Red Hat Enterprise Linux (RHEL) dahil birçok Linux dağıtımını etkiliyor. Açığın CVE kaydı 15 Ekim’de yayımlandı. The Hacker News’e göre çekirdeğin CVE ekibi 24 Ekim’de kayda CVSS 3.1 ölçeğinde 9.8 puan ekledi. Bu puana göre açık ağ üzerinden, giriş yapmadan ve kullanıcı etkileşimi olmadan istismar edilebiliyor.

Açığın etkisi

CVE kaydına göre hata bir yarış durumu (race condition). Çekirdek, yeni bir bağlantı kurulurken bağlantı isteğindeki IPv4 seçeneklerini kopyalamadan yeni bağlantıya aktarıyor. Aynı bağlantı isteği için yeniden gönderilen bir SYN paketi başka bir işlemci çekirdeğinde işlenirken bu yeni bağlantı serbest bırakılabiliyor ve çekirdek, yanıt paketini hazırlarken serbest bırakılmış belleği kullanıyor (use-after-free). Kayda göre benzer bir sorun, bağlantı isteklerinin taşınmasına (request socket migration) izin veren yapılandırmalarda (net.ipv4.tcp_migrate_req=1 ayarı ya da BPF_SK_REUSEPORT_SELECT_OR_MIGRATE türünde bir BPF programı kullanıldığında) da var. IPv6 bağlantıları ilk sorundan etkilenmiyor.

Kayıttaki puanlama açıklamasına göre giriş yapmamış bir saldırgan, TCP SYN paketine IPv4 Record Route ya da Timestamp seçenekleri ekleyip bu paketi yeniden göndererek hatayı tetikleyebiliyor. Aynı açıklamaya göre bu yolla çekirdek belleğindeki komşu veriler doğrudan saldırgana gönderilebiliyor, çekirdek belleğinde ayrılan alanın dışına yazılabiliyor ve çekirdek çökebiliyor. Red Hat ise açığın ağırlıklı olarak sistemin çökmesine, yani hizmet kesintisine yol açtığını, bellek bozulmasının da mümkün olduğunu belirtiyor.

Anthropic’in istismar kodu

The Hacker News’e göre çekirdekteki düzeltme, açığı bildiren kişi olarak Anthropic araştırmacısı Xinyang Ge’yi gösteriyor. Yine The Hacker News’e göre Anthropic 27 Ekim’de, yapay zekâ modeli Claude’un bulduğu ve istismar ettiği açıkları anlatan bir yazı yayımladı. Anthropic, Claude’un “ilk yönlendirmenin” ardından bu açık için bir istismar kodu yazdığını söylüyor. Anthropic’e göre bu kod, giriş bilgisi olmayan uzaktaki bir saldırganın, multipath TCP (MPTCP) dinleyicisi olan Linux sunucularda root olarak komut çalıştırmasını sağlıyor. The Hacker News’in açıklamasına göre MPTCP, tek bir bağlantının aynı anda birden fazla ağ yolunu kullanmasına imkân veriyor ve Linux’ta bir uygulamanın MPTCP’yi soket açarken ayrıca istemesi gerekiyor.

Yine The Hacker News’e göre istismar iki aşamalı. İlk aşamada yarış durumu, çekirdeğin saldırgana fazladan bayt göndermesine yol açıyor. Bu yanıtlardan biri bir çekirdek adresi içerdiğinde, çekirdeğin bellek adreslerini rastgele dağıtan KASLR korumasını atlatmak mümkün oluyor. İkinci aşamada aynı hata bir arabelleği taşırarak bir geri çağırma işaretçisinin (callback pointer) üzerine, saldırganın önceden çekirdek belleğine yerleştirdiği kodun adresini yazıyor. Çekirdek bu işaretçiyi çağırdığında saldırganın seçtiği komut root olarak çalışıyor. Anthropic’e göre kaybedilen bir yarış yalnızca o bağlantı denemesini başarısız kılıyor ve sistemi çökertmiyor, bu yüzden saldırgan tekrar tekrar deneyebiliyor. Anthropic’in testinde bir çekirdek adresini sızdırmak 48 dakika, komut çalıştırmaya ulaşmak 5 dakika daha sürdü.

The Hacker News, ne CVE kaydında ne de düzeltmede MPTCP’den söz edildiğini, bu bağlantının Anthropic’in yazısından geldiğini belirtiyor. The Hacker News’e göre Anthropic’in yazısı istismar kodunu, test edilen çekirdek sürümünü ve yapılandırmayı içermiyor, MPTCP dinleyicisi olmayan sunucuların aynı şekilde ele geçirilip geçirilemeyeceğini de söylemiyor. The Hacker News’e göre 29 Ekim itibarıyla ne üreticilerin bildirimleri ne CVE kaydı ne de Anthropic’in yazısı açığın saldırılarda kullanıldığını bildiriyor. Açık, 29 Ekim itibarıyla CISA’nın KEV listesinde de yer almıyor.

Dağıtımların durumu

• Ubuntu: Ubuntu açığa yüksek (High) öncelik veriyor. 28 Ekim’de güncellenen sayfaya göre 26.10, 26.04 LTS, 24.04 LTS ve 22.04 LTS’teki linux paketinde düzeltme üzerinde çalışılıyor. 20.04, 18.04 ve 16.04 LTS de etkilenen sürümler arasında. AWS gibi bulut ortamları için hazırlanan Ubuntu çekirdekleri de etkileniyor. Henüz düzeltilmiş paket yok.
• Red Hat: Red Hat, 29 Ekim’de güncellenen sayfasında açığı önemli (Important) olarak sınıflandırıyor ve CVSS 3.1 puanını 8.1 olarak veriyor. Red Hat bu puanın ön değerlendirme olduğunu ve gözden geçirilebileceğini belirtiyor. Red Hat’in puanı, saldırının zorluğunu yüksek kabul ettiği için çekirdek ekibininkinden düşük. RHEL 8, 9 ve 10 ile OpenShift Container Platform 4 etkileniyor ve henüz düzeltme yayımlanmadı. RHEL 6 ve 7 etkilenmiyor. Red Hat’e göre kendi ölçütlerini karşılayan geçici bir önlem yok.
• Debian: Debian’ın güvenlik takip sistemine göre açık, bookworm’da 6.1.190-1 (DLA-4841-1), trixie’de 6.12.113-1 (DSA-6568-1) sürümüyle kapatıldı. Bookworm’daki linux-6.12 paketinde düzeltme 6.12.113-1~deb12u1 (DLA-4850-1) sürümünde.
• Diğer dağıtımlar: The Hacker News’e göre Oracle Linux’un UEK çekirdeklerinde düzeltme 16 Ekim’de, Amazon Linux 2023’ün kernel6.18 ve kernel6.12 paketlerinde 24 ve 29 Ekim’de yayımlandı. Amazon Linux 2 ve Amazon Linux 2023’ün kernel paketinde düzeltme bekleniyor. SUSE Linux Micro 6.2 ve openSUSE Leap 16.0’da düzeltme var. SLES 15 SP4 ile SP7 arası, SLES 16.0 ve SLE Micro 5.3 ile 5.5 arası sürümlerde düzeltme test ediliyor ya da hazırlanıyor.

Etkilenen ve düzeltilmiş sürümler

• Açık, 4.4 sürümünden bu yana çekirdekte bulunuyor.
• Düzeltilmiş kararlı çekirdek sürümleri: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 ve 7.2.10.
• Ana geliştirme dalında düzeltme 7.3 sürümünde.

Önerilen önlemler

The Hacker News şunları öneriyor:

1. Dağıtımınız düzeltilmiş çekirdeği yayımladıysa kurun.
2. Kendi çekirdeğinizi derliyorsanız yukarıdaki sürümlerden birine geçin. Çekirdeğin CVE ekibi en son kararlı çekirdeğe güncellemeyi öneriyor ve tek tek düzeltmelerin ayrıca uygulanmasını desteklemiyor.

Ubuntu’da 22.04, 24.04 ve 26.04 için düzeltilmiş çekirdekler 2 Kasım’da isteğe bağlı test kanalına (-proposed) geldi. Ubuntu’nun CVE sayfası 11 Kasım itibarıyla bu sürümleri düzeltilmiş gösteriyor. Red Hat, RHEL 8, 9 ve 10 için düzeltilmiş çekirdekleri 1 Kasım’da yayımladı. Red Hat’in önerdiği geçici önlem ve Canonical’ın MPTCP’yi kapatmanın yeterli olmadığı yönündeki açıklaması güncelleme notlarında yer alıyor.