Red Hat, Linux TCP Uzaktan Kod Yürütme Güvenlik Açığını Giderdi; Ubuntu Test Düzeltmelerini Yayınladı

Red Hat, Linux TCP Uzaktan Kod Yürütme Güvenlik Açığını Giderdi; Ubuntu Test Düzeltmelerini Yayınladı

Red Hat Enterprise Linux 8, 9 ve 10 için Linux çekirdeğinin IPv4 TCP kodundaki bir “kullanım sonrası serbest bırakma” (use-after-free) güvenlik açığına yönelik düzeltilmiş çekirdekler artık mevcut. Ubuntu’nun en yeni üç uzun süreli destek sürümü için düzeltmeleri ise henüz genel bir güncelleme tarihi olmaksızın isteğe bağlı test kanalında bulunuyor.

CVE-2026-98432 olarak izlenen bu güvenlik açığına, uzaktan ve kimlik doğrulaması yapılmamış bir saldırgan tarafından erişilebilir ve uzaktan kod yürütülmesine yol açabilir. Hem Red Hat hem de Canonical bu durumu doğruladı.

Linux çekirdeğinin kendi CVE ekibi, bu güvenlik açığını CVSS ölçeğinde 10 üzerinden 9.8 olarak derecelendirdi. Başlangıçta 5.9 ile Orta düzeyde olarak derecelendiren Red Hat, puanını 9.8’e yükselterek kritik olarak nitelendirdi. Bu hata, Linux 4.4’ten beri mevcuttu ve ana akım düzeltme Ekim ayında yayınlandı.

Güvenlik Açığının Detayları

Bir sunucu bir IPv4 TCP bağlantısını kabul ettiğinde, çekirdek gelen isteğin IP seçeneklerini kopyalamadan yeni sokete iletir. Eğer istemci bağlantı isteğini başka bir işlemci bu seçenekleri okurken yeniden iletirse, çekirdek zaten serbest bırakılmış belleği okuyabilir.

Saldırgan, herhangi bir dinleme yapan TCP portuna IPv4 Kayıt Yolu veya Zaman Damgası seçenekleri içeren bağlantı istekleri göndererek bu yarış durumunu tetikler. Herhangi bir oturum açma işlemi gerekmez. IPv6 ana yolda etkilenmez.

Red Hat, 1 Kasım’da RHSA-2026:93414 (RHEL 8), RHSA-2026:93412 (RHEL 9) ve RHSA-2026:93413 (RHEL 10) güncellemelerini yayınladı. Güncellemenin yüklenmesinden sonra sistemin yeniden başlatılması gerekmektedir.

Canonical, 2 Kasım’da yaptığı açıklamada, Ubuntu 22.04 LTS, 24.04 LTS ve 26.04 LTS için düzeltmelerin -proposed cebinde, yani isteğe bağlı bir test kanalında olduğunu belirtti. Buradaki paketler otomatik olarak yüklenmez.

Canonical, çekirdek güncellemelerini düzenli güncelleme kanalına yayınlamadan önce 2.000’den fazla sertifikalı sunucu ve cihazda test eder ve henüz bir yayın tarihi verilmemiştir.

Düzeltmeye düzenli kanala ulaşmadan önce ihtiyaç duyan yöneticiler, -proposed kanalını etkinleştirerek çekirdek güncellemesini aşağıdaki komutlarla yükleyebilirler:

sudo add-apt-repository --component main --pocket proposed https://archive.ubuntu.com/ubuntu
dpkg-query -W -f '${source:Package}	${binary:Package}
' | awk '$1 ~ "^linux-meta" { print $2 }' | xargs sudo apt install -t $(. /etc/os-release && echo $VERSION_CODENAME)-proposed --only-upgrade
sudo reboot

Bir sistemin düzeltilmiş bir çekirdek çalıştırıp çalıştırmadığını kontrol etmek için, uname -r çıktısını yukarıdaki tablolardaki sürümlerle karşılaştırın.

Ubuntu 20.04, 18.04 ve 16.04 için henüz bir düzeltme bulunmamaktadır. Daha eski sürümler için Ubuntu Pro aracılığıyla Genişletilmiş Güvenlik Bakımı gereklidir.

Ubuntu için bulut, FIPS ve gerçek zamanlı çekirdek varyantları, Ubuntu CVE sayfasında hedef sürümlerle birlikte devam eden çalışma olarak listelenmiştir, ancak Canonical’ın blog yazısı yalnızca genel çekirdeği kapsamaktadır.

Geçici Önlemler

Red Hat, 30 Ekim’de gelen IPv4 TCP paketlerini IP seçenekleriyle birlikte düşüren bir nftables kuralı yayınladı. Red Hat, bu kuralın yarış durumunun bilinen tetikleyicisini engellediğini ancak istismarı tamamen önleyemeyeceğini ve IPv4 seçeneklerine bağlı iş yüklerini bozabileceğini belirtti.

table inet cve_2026_98432 {
    chain input {
        type filter hook input priority -310; policy accept;
        ip protocol tcp ip hdrlength > 5 counter drop
    }
}

Bu filtre yalnızca yüklendiği ana bilgisayara uygulanır. Aynı ana bilgisayardaki kapsayıcılar arasındaki trafik bu filtreyi atlayabilir, CIQ çekirdek ekibinden bir üye oss-security posta listesinde belirtti.

Birçok kaynak, geçici bir çözüm olarak Çoklu Yol TCP’yi (MPTCP) devre dışı bırakmayı önermiştir. Canonical, güvenlik açığının IPv4 TCP yolunda olduğunu, MPTCP’de olmadığını ve bu tavsiyenin tek başına yeterli olmadığını belirtti. “Ubuntu Güvenlik Ekibi, güvenlik güncellemelerinin tek uygun hafifletme olduğuna inanıyor.”

İstismar Durumu

Hiçbir satıcı, CERT veya çekirdek CVE ekibi, bu güvenlik açığını kullanan saldırılar bildirmedi. CISA’nın Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda, kataloğun 30 Ekim’deki yayın tarihi itibarıyla listelenmemiştir.

Anthropic, 27 Ekim’de yaptığı açıklamada, yayınlanmamış, dahili bir Claude araştırma modelinin, MPTCP dinleyicisi olan Linux sunucularına karşı kimlik bilgisi veya kullanıcı etkileşimi olmadan çalışan bir uzaktan kök istismarı yazdığını belirtti. Kavram kanıtında, bir çekirdek adresini sızdırmak 48 dakika sürdü ve bir kök kabuğuna ulaşmak 5 dakika daha sürdü. Anthropic, istismar kodunu yayınlamadı.

Yarış durumunu tetikleyen ve SYN-ACK’de serbest bırakılmış belleğin çekirdek tarafından yankılandığını tespit eden yalnızca kanıt kodu GitHub’da ortaya çıktı. Bu kod, kod yürütmeyi uygulamaz.

Amazon Linux, güvenlik açığını 8.1 olarak derecelendirdi ve Önemli olarak nitelendirdi, ana sonucun olası bellek bozulmasıyla birlikte bir çökme olduğunu belirtti. Debian, Oracle Linux ve SUSE, Ekim ayında düzeltmeleri yayınladı. Amazon Linux, tüm paketlerde 24 ve 30 Ekim tarihleri arasında düzeltildi.