AntwortenVeröffentlicht22 Quellen
Kritische Linux-Lücke: Warum MPTCP keine Entwarnung ist
CVE 2026 98432 ist eine Use after free Race Condition in der IPv4 TCP Verbindungsaufnahme. Der öffentlich beschriebene Remote Root Angriffsweg nutzte einen MPTCP Listener.
Veröffentlicht vonBearbeitet mit GPT-6 LunaBilder erstellt mit GPT Image 2
Forschungsantwort
Wichtige Erkenntnisse
- CVE 2026 98432 ist eine Use after free Race Condition in der IPv4 TCP Verbindungsaufnahme.
- Der öffentlich beschriebene Remote Root Angriffsweg nutzte einen MPTCP Listener.
- MPTCP abzuschalten kann die Angriffsfläche verringern, ersetzt aber kein Update auf einen korrigierten Kernel.
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is CVE-2026-98432, the 9.8-CVSS Linux kernel IPv4 TCP race condition affecting kernels from version 4.4 onward, how can simultaneous pr. Article summary: CVE-2026-98432 is a critical use-after-free race in Linux’s IPv4 TCP connection-handshake code, affecting unpatched kernels from 4.4 onward and rated CVSS 3.1 9.8; it is not simply an MPTCP-only vulnerability. [1][5][7] . Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, ch
CVE-2026-98432 ist eine kritische Use-after-free-Race-Condition im IPv4-TCP-Code des Linux-Kernels. Sie betrifft Kernel ab Version 4.4 und erreicht einen CVSS-3.1-Wert von 9,8. Der in Berichten beschriebene Remote-Root-Angriff richtete sich gegen einen Server mit einem Multipath-TCP-Listener (MPTCP). Die Schwachstelle selbst liegt jedoch in der IPv4-TCP-Verarbeitung – nicht ausschließlich in MPTCP. 6
44
57
Das ist wichtig für die Einschätzung der Gegenmaßnahmen: MPTCP abzuschalten kann den konkret demonstrierten Angriffsweg blockieren, behebt aber nicht den Fehler im Kernel. Forschende berichteten über eine Demonstration mit möglicher Remote-Codeausführung. Daraus folgt nicht, dass jeder öffentlich erreichbare TCP-Server zuverlässig angreifbar ist. Auch erfolgreiche Angriffe in freier Wildbahn sind durch die verfügbaren Angaben nicht belegt. 37
Wie der Fehler entsteht
Beim Aufbau einer Verbindung speichert Linux IPv4-Optionen zu einer noch offenen TCP-Verbindungsanfrage. Wenn der Handshake voranschreitet, übergibt tcp_v4_syn_recv_sock() diese Optionen an den neu angelegten Kind-Socket, ohne sie zu kopieren. Gleichzeitig kann ein anderer CPU-Kern ein erneut gesendetes SYN-Paket für dieselbe Anfrage bearbeiten und dabei noch auf die Optionen zugreifen. Wird der Speicher vorher freigegeben, kann der Code beim Erstellen einer SYN-ACK-Antwort auf bereits freigegebenen Speicher zugreifen. 44
Genau das bezeichnet „Use after free“: Kernel-Code verwendet Speicher weiter, obwohl dessen Lebensdauer bereits beendet ist. Mögliche Folgen sind ein Systemabsturz oder beschädigte Speicherinhalte; Sicherheitsmeldungen nennen auch potenzielle Remote-Codeausführung. Ob sich der Fehler zuverlässig für eine Codeausführung ausnutzen lässt, hängt von den konkreten Bedingungen ab. Die berichtete MPTCP-Demonstration zeigt einen ernstzunehmenden Angriffsweg, aber nicht, dass sich jeder betroffene Rechner auf dieselbe Weise kompromittieren lässt. 52
Der Kernel-Patch setzt an der Speicherverwaltung an: Die IPv4-Optionen werden erst nach einer RCU-Wartefrist freigegeben. So erhalten parallel laufende Leser Zeit, ihre Zugriffe abzuschließen. 44
Was über die Exploit-Berichte bekannt ist
Anthropics Forschungsbericht vom 27. Oktober wurde in späterer Berichterstattung als Demonstration eines KI-generierten Remote-Root-Exploits beschrieben. Ziel war demnach ein Server, der einen MPTCP-Listener bereitstellte. Der Exploit und seine Konfiguration wurden Berichten zufolge nicht veröffentlicht. Das schränkt eine unabhängige Prüfung der Demonstration und ihrer Voraussetzungen ein. 9
11
Matt Corallo kritisierte die Reaktion Ubuntus, während Distributionen bereits korrigierte Kernel bereitstellten und Ubuntus Updates noch getestet wurden. Seine Kritik bezog sich auf die Verzögerung bei der Bereitstellung regulärer Updates; sie ist kein eigenständiger technischer Beleg für erfolgreiche Angriffe. 12
Sicherheitsforscher Marcus Hutchins meldete Anzeichen dafür, dass Systeme nach exponierten Geräten abgesucht würden. Solche Scans können auf Interesse an potenziellen Zielen hindeuten, belegen aber keine erfolgreiche Kompromittierung. 31
MPTCP abschalten: sinnvoll, aber nur vorläufig
MPTCP steht für Multipath TCP, eine Erweiterung von TCP. Go 1.24 und neuere Versionen können MPTCP für Listener aktivieren, wenn der Kernel die Funktion unterstützt. Dadurch kann die Netzwerkkonfiguration einer Anwendung relevant werden, auch wenn sie nicht eigens für MPTCP entwickelt wurde. 37
Lightning Labs empfiehlt Linux-Betreibern in den Versionshinweisen zu LND, MPTCP abzuschalten und einen gepatchten Kernel zu installieren. Die Version lnd v0.21.6-beta deaktiviert MPTCP-Listener standardmäßig. Das soll den über diese Anwendung demonstrierten Angriffsweg schließen. Die Release-Informationen betonen jedoch: Das ist eine Gegenmaßnahme, kein Ersatz für den Kernel-Patch. 33
37
Eine Abschaltung in der Anwendung kann deren Angriffsfläche reduzieren; eine systemweite Deaktivierung kann auch andere MPTCP-Listener betreffen. Beides behebt nicht den zugrunde liegenden Fehler in der Speicherverwaltung des IPv4-TCP-Codes. Solche Maßnahmen können die Zeit bis zum Update überbrücken, sind aber kein Grund, einen ungepatchten Kernel als sicher anzusehen. 6
37
44
Patch-Stand laut Berichten bis zum 4. November
Wie schnell ein korrigierter Kernel verfügbar war, hing von der Distribution ab. Canonical teilte am 2. November mit, dass Korrekturen für Ubuntu 22.04 LTS und neuere Versionen im optionalen -proposed-Kanal lagen und noch getestet wurden. Zeitgleich berichtete die Presse, Red Hat habe am 1. November korrigierte Kernel für RHEL 8, 9 und 10 veröffentlicht. 6
7
Die Kritik entzündete sich an der Lücke zwischen einem verfügbaren Test-Paket und einem Update im regulären Kanal – besonders nach der gemeldeten Remote-Root-Demonstration. Der Patch-Stand kann sich schnell ändern: Maßgeblich ist deshalb der Sicherheitshinweis für die konkrete Distribution und Version, nicht der Update-Status einer anderen Linux-Distribution. 7
12
Für Betreiber zählt, welcher Kernel die jeweilige Anwendung tatsächlich ausführt, und ob dafür bereits ein korrigiertes Paket verfügbar ist. MPTCP-Einschränkungen können die Exposition bis dahin verringern. Den Fehler bei der Speicherverwaltung behebt jedoch nur das Kernel-Update. 6
37
44
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „Kritische Linux-Lücke: Warum MPTCP keine Entwarnung ist“?
CVE 2026 98432 ist eine Use after free Race Condition in der IPv4 TCP Verbindungsaufnahme.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
CVE 2026 98432 ist eine Use after free Race Condition in der IPv4 TCP Verbindungsaufnahme. Der öffentlich beschriebene Remote Root Angriffsweg nutzte einen MPTCP Listener.
Was soll ich als nächstes in der Praxis tun?
MPTCP abzuschalten kann die Angriffsfläche verringern, ersetzt aber kein Update auf einen korrigierten Kernel.