Intersect, организация на базе Cardano, призвала операторов стейк-пулов применить исправления и перезагрузить свои блок-продюсеры и релей-серверы по мере появления обновлений для критической уязвимости в ядре Linux.
В своем обновлении от 30 октября Intersect сообщила операторам проверить ядра на обоих типах серверов и установить исправленное ядро своей дистрибутива сразу после его публикации. Уязвимость CVE-2026-98432 имеет оценку CVSS 3.1 в 9,8, или критическую, от kernel.org.
Уязвимость затрагивает обработку входящих IPv4 TCP-соединений ядром. Она может привести к обращению ядра к памяти после её освобождения. Бюллетень безопасности Red Hat сообщает, что удалённый атакующий без учётных данных может эксплуатировать гонку для выполнения кода; в описании уязвимости также указаны сбои системы и повреждение памяти как риски.
Для Cardano предупреждение охватывает как машины, создающие блоки, так и реле, соединяющие их с более широкой сетью. Документация оператора Cardano рекомендует подключать производителей блоков только к своим собственным или доверенным реле, чтобы защитить их от интернета. В рекомендации Intersect не сообщается о эксплуатации уязвимостей в Cardano и не уточняется, сколько пулов используют уязвимые ядра.
Патчи и временные меры
Отслеживатель Ubuntu, последнее обновление 30 октября, указывает, что стандартные ядра Ubuntu 22.04, 24.04, 26.04 и 26.10 уязвимы, исправления находятся в разработке. Бюллетень Red Hat от 30 октября указывает, что затронуты RHEL 8, 9 и 10, и сообщает, что исправления ускоряются.
AlmaLinux сообщила 30 октября, что исправленные ядра для версий 8, 9 и 10 доступны в тестовых репозиториях до релиза в продакшене. Было отмечено, что на тот момент не было доступно исправленное ядро RHEL. Ошибка восходит к Linux 4.4, а исправления из upstream были портированы в поддерживаемые стабильные ветки.
Продемонстрированная атака использовала Multipath TCP (MPTCP). Исследователи Anthropic заявили, что их концепция доказательства может отправлять пакеты на Linux-сервер с MPTCP-слушателем и выполнять команды от имени root без учетных данных или взаимодействия с пользователем. Однако Команда безопасности Go предупредила, что сама уязвимость не связана исключительно с MPTCP, поэтому системы без таких слушателей также могут быть уязвимы.
AlmaLinux рекомендует отключать MPTCP там, где он не нужен, и перезапускать службы с существующими MPTCP-слушателями: изменение настройки само по себе останавливает создание только новых MPTCP-сокетов.
Red Hat также предлагает средство смягчения последствий с помощью брандмауэра, фильтрующее входящие IPv4 TCP-пакеты, содержащие IP-опции. Компания предупреждает операторов протестировать правило на своих рабочих нагрузках перед развертыванием и отмечает, что фильтрация может снизить уровень экспозиции, но не способна полностью предотвратить эксплуатацию. Оба производителя подчеркивают, что временные меры не заменяют установку исправленного ядра; Intersect прямо рекомендует операторам перезагрузить систему после обновления.