AnthropicのAIが、パスワードなしで誰かがインターネット経由でサーバーを乗っ取れるようになるLinuxの脆弱性を発見しました。 Linuxは、システムが判明するウェブサイトの63％で動作しており、このエラーはコード内に約10年間隠されていました。 深刻度の評価は10点満点中9.8点で、Red Hatは「重大」と分類しています。Anthropicのテストでは、攻撃には約48分の準備と、さらに5分でマシンを支配するのに必要でした。 Linuxの修正パッチは10月から存在していましたが、昨日までUbuntuはすべてのバージョンを脆弱とリストアップしていました。現在の弱い環は、サーバーの更新と再起動を先延ばしにする人々です。 このエラーは、インターネットを通じて新しい接続を処理するLinuxの方法にあります。これは最も一般的な接続タイプです。Anthropicが示した攻撃は、複数のネットワークを同時に使用できるMPTCPという機能を悪用します。Go言語で作成されたプログラムは、システムが対応するバージョン1.24以降でこの機能がデフォルトで有効になっています。 サーバー管理者の方：お使いのシステムがカーネル更新をリリースした時点で直ちに更新し、再起動してください。その間、MPTCPを無効にするとリスクを軽減できますが、エラーは依然として通常の接続に存在するため、完全な対策にはなりません。 Anthropicは攻撃手法を公開しておらず、昨日まで実際に使用された報告は一切ありませんでした。そのため、今日更新すれば先行できます。 この世には、まだどれだけ多くの隠された脆弱性が存在しているのでしょうか。