Intersect、Cardano運営者にLinuxカーネル重大脆弱性「CVE-2026-98432」の修正適用を要請

Cardanoの会員制組織Intersectは、Linuxカーネルの重大な脆弱性に対する修正プログラムが利用可能になり次第、ステークプール運営者に対し、ブロック生成サーバーとリレーサーバーへのパッチ適用と再起動を促した。10月30日付の更新で、両タイプのサーバーのカーネルを確認し、各ディストリビューションの修正カーネルが公開され次第、速やかに導入するよう求めた。 脆弱性CVE-2026-98432は、kernel.orgによるCVSS 3.1スコアが9.8（Critical）。IPv4 TCP着信接続の処理に問題があり、解放済みメモリへのアクセスを引き起こす可能性がある。Red Hatのセキュリティ速報は、認証情報を持たない遠隔攻撃者が競合状態を悪用してコードを実行できると説明。システムクラッシュやメモリ破損もリスクとして挙げている。 Cardanoでは、ブロックを生成するマシンと、それを外部ネットワークに接続するリレーの両方が警告の対象。Cardanoの運営者向け文書は、ブロック生成サーバーを自社または信頼できるリレーにのみ接続し、インターネットから遮断するよう推奨している。Intersectの注意喚起は、Cardanoに対する悪用を報告しておらず、脆弱なカーネルを稼働するプールの数も定量化していない。 パッチと暫定措置 Ubuntuのトラッカー（10月30日最終更新）は、Ubuntu 22.04、24.04、26.04、26.10の標準カーネルを脆弱と表示し、修正を進行中としている。Red Hatの10月30日付速報はRHEL 8、9、10を影響対象に挙げ、修正を急いでいるとしている。AlmaLinuxは10月30日、バージョン8、9、10向けの修正済みカーネルが本番リリースに先立ちテスト用リポジトリで利用可能になったと発表。当時、修正済みのRHELカーネルは提供されていなかったと述べた。 不具合はLinux 4.4にさかのぼり、上流の修正は保守中の安定版ブランチにバックポートされている。実証された攻撃ではMultipath TCP（MPTCP）が使われた。Anthropicの研究者らは、概念実証がMPTCPリスナーを持つLinuxサーバーにパケットを送信し、認証情報やユーザー操作なしにrootとしてコマンドを実行できたと述べた。Go Security Teamは、根本的な不具合はMPTCP固有ではないため、MPTCPリスナーを持たないシステムも脆弱である可能性があると警告している。 AlmaLinuxは、不要な場合はMPTCPを無効化し、既存のMPTCPリスナーを持つサービスを再起動するよう助言。設定変更だけでは新規MPTCPソケットの作成を止めるにとどまるとしている。Red Hatは、IPオプションを含む着信IPv4 TCPパケットをフィルタリングするファイアウォールによる緩和策も用意。導入前に自社ワークロードでルールをテストするよう警告し、フィルタリングは露出を減らせるものの悪用を完全に防ぐことはできないと説明している。 両ベンダーは、暫定措置は修正済みカーネルの導入に代わるものではないと強調。Intersectは更新後の再起動を明示的に求めている。