क्रिटिकल लिनक्स कर्नेल खामी CVE-2026-98432 MPTCP सर्वरों पर रिमोट रूट हमलों की अनुमति देती है

एन्थ्रोपिक (Anthropic) के सुरक्षा शोधकर्ताओं ने एक क्रिटिकल लिनक्स कर्नेल वल्नरेबिलिटी के लिए एक एक्सप्लॉइट विकसित किया है, जिसे CVE-2026-98432 के रूप में ट्रैक किया गया है। यह खामी अप्रमाणित हमलावरों को मल्टीपाथ टीसीपी (MPTCP) लिसनर चलाने वाले सर्वरों पर रूट के रूप में रिमोट कमांड निष्पादित करने की अनुमति देती है। यह वल्नरेबिलिटी कर्नेल के IPv4 TCP नेटवर्किंग कोड में एक यूज़-आफ्टर-फ्री समस्या है, जो कर्नेल द्वारा TCP कनेक्शन अनुरोधों को संभालने के तरीके में रेस कंडीशन के कारण उत्पन्न होती है।

वल्नरेबिलिटी विवरण और गंभीरता

लिनक्स कर्नेल CVE टीम ने इस खामी को 10 में से 9.8 का गंभीरता स्कोर दिया है। यह बग संस्करण 4.4 से लेकर हालिया लिनक्स कर्नेल को प्रभावित करता है, जिसमें उबुंटू (Ubuntu), रेड हैट एंटरप्राइज लिनक्स (RHEL), और रॉकी लिनक्स जैसे व्यापक रूप से उपयोग किए जाने वाले वितरण शामिल हैं। हालांकि यह खामी साधारण TCP कनेक्शन को भी प्रभावित करती है, लेकिन सार्वजनिक रूप से रिमोट कोड निष्पादन का प्रदर्शन वर्तमान में केवल MPTCP लिसनर चलाने वाले सर्वर पर किया गया है।

एन्थ्रोपिक ने बताया कि एक अप्रकाशित क्लोड AI मॉडल ने लगभग 53 मिनट में कर्नेल एड्रेस स्पेस लेआउट रैंडमइजेशन (KASLR) को बायपास करके रूट के रूप में मनमाने कमांड निष्पादित करने वाला एक एक्सप्लॉइट सफलताಪೂರ್ವ विकसित किया। इसके विपरीत, रेड हैट इस खामी को 5.9 के निचले गंभीरता स्कोर के साथ संभावित डिनायल-ऑफ-सर्विस मुद्दे के रूप में वर्गीकृत करता है, यह नोट करते हुए कि रेस कंडीशन का फायदा उठाना काफी जटिल है।

इकोसिस्टम और गो (Go) सेवाओं पर प्रभाव

यद्यपि MPTCP हमेशा सभी अनुप्रयोगों में डिफ़ॉल्ट रूप से सक्षम नहीं होता है, कुछ सॉफ्टवेयर कॉन्फ़िगरेशन इसे स्वचालित रूप से सक्रिय करते हैं। उदाहरण के लिए, Go 1.24 की शुरुआत के साथ, यह प्रोग्रामिंग भाषा लिनक्स पर TCP लिसनर के लिए डिफ़ॉल्ट रूप से MPTCP को सक्षम करती है यदि कर्नेल इसका समर्थन करता है, जिससे प्रशासकों की स्पष्ट जानकारी के बिना कुछ Go-आधारित नेटवर्क सेवाओं में सक्रिय MPTCP लिसनर रह सकते हैं।

पैच स्थिति और शमन मार्गदर्शन

अपस्ट्रीम फिक्स जारी किए गए हैं और बनाए रखने वाली शाखाओं में बैकपोर्ट किए गए हैं, हालांकि वितरण के अनुसार रोलआउट की स्थिति भिन्न होती है:

• उबुंटू (Ubuntu): संस्करण 22.04 LTS, 24.04 LTS, 26.04 LTS, और 26.10 प्रगति पर कर्नेल फिक्स के साथ वल्नरेबल बने हुए हैं।
• रेड हैट (Red Hat): RHEL 8, 9, और 10 को प्रभावित के रूप में सूचीबद्ध किया गया है और भविष्य के अपडेट की योजना है; RHEL 7 प्रभावित नहीं है।
• डेबियन (Debian): डेबियन 12 के लिए कर्नेल पैकेज संस्करण 6.1.190-1 और डेबियन 13 के लिए 6.12.113-1 में फिक्स उपलब्ध हैं।
• रॉकी लिनक्स और अन्य: CIQ ने पुष्टि की है कि रॉकी लिनक्स 8, 9 और 10 प्रभावित हैं, जबकि ओरेकल लिनक्स, अमेज़न लिनक्स और SUSE जैसे विक्रेताओं ने विशिष्ट संस्करणों के लिए पैच जारी किए हैं।

प्रशासकों को अपने विक्रेता की सुरक्षा सलाह की जांच करनी चाहिए और उपलब्ध होने पर कर्नेल अपडेट लागू करने चाहिए। अनपैच किए गए सिस्टम के लिए, शमन विकल्पों में विश्वसनीय नेटवर्क तक पहुंच को प्रतिबंधित करना, IP विकल्पों वाले IPv4 TCP पैकेट को ब्लॉक करने के लिए nftables नियमों जैसी अस्थायी फ़ायरवॉल सुरक्षा का उपयोग करना शामिल है। वर्तमान में wild में CVE-2026-98432 का फायदा उठाए जाने की कोई पुष्ट रिपोर्ट नहीं है।