آسیب‌پذیری بحرانی در هسته لینوکس امکان اجرای حملات از راه دور با دسترسی روت را فراهم می‌کند

پژوهشگران امنیتی شرکت Anthropic اکسپلویتی برای یک آسیب‌پذیری بحرانی در هسته لینوکس توسعه داده‌اند که به مهاجمان احراز هویت‌نشده اجازه می‌دهد از راه دور، روی سرورهایی که در حالت شنونده از پروتکل Multipath TCP (MPTCP) استفاده می‌کنند، فرمان‌هایی را با سطح دسترسی روت اجرا کنند.

این آسیب‌پذیری با شناسه CVE-2026-98432 ردیابی می‌شود و اتصالات معمولی TCP را نیز تحت تأثیر قرار می‌دهد. با این حال، تاکنون اجرای کد از راه دور روی سرورهایی که شنونده MPTCP ندارند، به‌صورت عمومی به نمایش گذاشته نشده است.

Multipath TCP یا MPTCP قابلیتی در پروتکل TCP است که به یک اتصال اجازه می‌دهد به‌طور هم‌زمان از چند مسیر شبکه استفاده کند تا عملکرد و قابلیت اطمینان ارتباط بهبود یابد. این فناوری معمولاً در محیط‌هایی به کار می‌رود که دستگاه‌ها از چند اتصال شبکه، مانند Wi-Fi و شبکه تلفن همراه، برخوردار هستند.

آسیب‌پذیری CVE-2026-98432 از نوع Use-After-Free در کد شبکه‌سازی TCP مبتنی بر IPv4 در هسته لینوکس است. تیم CVE هسته لینوکس شدت این آسیب‌پذیری را ۹.۸ از ۱۰ ارزیابی کرده است.

این آسیب‌پذیری هسته‌های لینوکس را از نسخه ۴٫۴ به بعد تحت تأثیر قرار می‌دهد و توزیع‌های پرکاربردی مانند Ubuntu، Red Hat Enterprise Linux (RHEL) و Rocky Linux را نیز شامل می‌شود.

بر اساس اطلاعیه امنیتی هسته لینوکس، منشأ این آسیب‌پذیری یک وضعیت رقابتی (Race Condition) در نحوه مدیریت درخواست‌های اتصال TCP توسط هسته است که می‌تواند به بروز وضعیت Use-After-Free منجر شود.

در این اطلاعیه آمده است:

«تابع tcp_v4_syn_recv_sock() مالکیت ireq->ireq_opt را بدون کپی‌کردن آن به سوکت فرزند (newinet->inet_opt) منتقل می‌کند.»

در ادامه توضیح داده شده است:

«یک پردازنده دیگر می‌تواند هم‌زمان، یک بسته SYN ارسال‌شده مجدد را برای همان سوکت درخواست پردازش کند و از طریق tcp_check_req() یک بسته SYN-ACK بفرستد. توابع tcp_v4_send_synack() و inet_csk_route_req()، متغیر ireq->ireq_opt را صرفاً در محدوده rcu_read_lock() می‌خوانند. سپس توابع ip_build_and_send_pkt() و ip_options_build() مقدار opt->optlen را دو بار می‌خوانند.»

مشکل مشابهی ممکن است هنگام انتقال سوکت درخواست TCP نیز رخ دهد؛ به‌ویژه زمانی که گزینه net.ipv4.tcp_migrate_req فعال باشد یا از برنامه‌ای با نام BPF_SK_REUSEPORT_SELECT_OR_MIGRATE استفاده شود.

اگرچه برای تحریک این آسیب‌پذیری نیازی به احراز هویت نیست، شرکت Red Hat اعلام کرده است که بهره‌برداری از این وضعیت رقابتی پیچیده‌تر از ارسال یک بسته شبکه‌ای مخرب است.

Red Hat این آسیب‌پذیری را تهدیدی بالقوه برای حملات منع سرویس (DoS) طبقه‌بندی کرده است که می‌تواند به از کار افتادن هسته سیستم منجر شود. این شرکت به دلیل پیچیدگی فرایند بهره‌برداری، امتیاز شدت پایین‌تر ۵.۹ را برای آن در نظر گرفته است.

با این حال، پژوهشگران Anthropic نشان داده‌اند که در شرایط مشخصی می‌توان از این آسیب‌پذیری برای اجرای کد از راه دور (RCE) استفاده کرد.

در گزارش منتشرشده از سوی Anthropic توضیح داده شده است که یک مدل هوش مصنوعی Claude که هنوز منتشر نشده بود، اکسپلویتی توسعه داد که توانست سازوکار تصادفی‌سازی چیدمان فضای آدرس هسته (KASLR) را دور بزند و فرمان‌های دلخواه را با دسترسی روت روی یک سرور لینوکسی دارای شنونده MPTCP اجرا کند.

به گفته Anthropic، توسعه و اجرای موفق این اکسپلویت برای دستیابی به اجرای کد از راه دور با دسترسی روت حدود ۵۳ دقیقه زمان برد. این نتیجه نشان می‌دهد که پیامدهای آسیب‌پذیری به حملات منع سرویس محدود نمی‌شود.

اگرچه MPTCP معمولاً به‌صورت پیش‌فرض در برنامه‌ها فعال نیست، برخی نرم‌افزارها آن را به‌طور خودکار فعال می‌کنند.

از نسخه Go 1.24 به بعد، زبان برنامه‌نویسی Go در سیستم‌عامل لینوکس، در صورت پشتیبانی هسته از این قابلیت، MPTCP را به‌طور پیش‌فرض برای شنونده‌های TCP فعال می‌کند. در نتیجه، برخی سرویس‌های شبکه مبتنی بر Go ممکن است بدون اطلاع مدیران سیستم، شنونده‌های MPTCP را فعال کنند.

انتشار وصله‌های امنیتی برای توزیع‌های لینوکس آغاز شده است

این آسیب‌پذیری در نسخه اصلی هسته لینوکس برطرف شده و اصلاحات آن به شاخه‌های هسته‌ای که همچنان پشتیبانی می‌شوند نیز انتقال یافته است. با این حال، به‌روزرسانی‌های امنیتی هنوز برای تمام توزیع‌های آسیب‌پذیر منتشر نشده‌اند.

بر اساس سامانه پیگیری امنیتی Canonical، نسخه‌های Ubuntu 22.04 LTS، ۲۴٫۰۴ LTS، ۲۶٫۰۴ LTS و ۲۶٫۱۰ همچنان در معرض این آسیب‌پذیری قرار دارند. تا تاریخ ۳۰ اکتبر، اصلاحات مربوط به هسته این نسخه‌ها همچنان در دست انجام بوده است.

Red Hat نیز نسخه‌های RHEL 8، ۹ و ۱۰ را آسیب‌پذیر اعلام کرده و انتشار اصلاحیه را به‌روزرسانی‌های آینده موکول کرده است. نسخه RHEL 7 تحت تأثیر این مشکل قرار ندارد، زیرا هسته آن شامل کد آسیب‌پذیر نیست. جزئیات بیشتر در اطلاعیه امنیتی Red Hat ارائه شده است.

شرکت CIQ، ارائه‌دهنده خدمات پشتیبانی Rocky Linux، نیز در راهنمای کاهش ریسک تأیید کرده است که نسخه‌های Rocky Linux 8، ۹ و ۱۰ تحت تأثیر این آسیب‌پذیری قرار دارند. این شرکت همچنین راهکارهایی موقت مبتنی بر فایروال برای محافظت از سیستم‌های آسیب‌پذیر ارائه کرده است.

بر اساس سامانه پیگیری امنیتی Debian، این آسیب‌پذیری در بسته هسته نسخه ۶٫۱٫۱۹۰-۱ برای Debian 12 (Bookworm) و نسخه ۶٫۱۲٫۱۱۳-۱ برای Debian 13 (Trixie) برطرف شده است. بسته‌های اصلاح‌شده برای شاخه‌های آزمایشی (Testing) و ناپایدار (Unstable) دبیان نیز در دسترس هستند.

سایر توزیع‌کنندگان لینوکس، از جمله Oracle Linux، Amazon Linux و SUSE، نیز برای برخی از نسخه‌های آسیب‌پذیر هسته، اصلاحیه‌هایی منتشر کرده‌اند.

این آسیب‌پذیری سیستم‌عامل macOS را تحت تأثیر قرار نمی‌دهد، زیرا macOS به‌جای هسته لینوکس از هسته XNU شرکت اپل استفاده می‌کند.

به مدیران سیستم توصیه می‌شود اطلاعیه‌های امنیتی توزیع لینوکس مورد استفاده خود را بررسی کرده و به‌محض انتشار بسته‌های به‌روزرسانی‌شده هسته، آن‌ها را نصب کنند.

در سیستم‌هایی که هنوز وصله امنیتی برای آن‌ها منتشر نشده است، محدودکردن دسترسی شبکه به شبکه‌های مورد اعتماد یا نشانی‌های IP مشخص می‌تواند خطر بهره‌برداری را کاهش دهد.

شرکت CIQ همچنین توصیه می‌کند تا زمان انتشار اصلاحیه، بسته‌های TCP مبتنی بر IPv4 که حاوی گزینه‌های IP هستند، پیش از رسیدن به کد آسیب‌پذیر پردازش TCP به‌طور موقت مسدود شوند. این شرکت نمونه‌هایی از قوانین nftables را نیز برای مسدودسازی این نوع ترافیک ارائه کرده است.

با این حال، CIQ هشدار می‌دهد که غیرفعال‌کردن MPTCP به‌تنهایی کافی نیست، زیرا آسیب‌پذیری اصلی همچنان می‌تواند از طریق ترافیک معمولی TCP مورد بهره‌برداری قرار گیرد.

در حال حاضر، هیچ گزارشی مبنی بر بهره‌برداری تأییدشده از آسیب‌پذیری CVE-2026-98432 در حملات واقعی منتشر نشده است.