Intersect призвала операторов Cardano установить патч для критической уязвимости ядра Linux CVE-2026-98432
Intersect, членская организация Cardano, призвала операторов стейк-пулов устанавливать патчи и перезагружать блок-продюсеры и релейные серверы по мере появления исправлений для критической уязвимости ядра Linux. В обновлении от 30 октября Intersect рекомендовала проверить ядро на серверах обоих типов и установить исправленное ядро своего дистрибутива сразу после его публикации.
Уязвимость CVE-2026-98432 имеет оценку 9,8 балла по шкале CVSS 3.1, что соответствует критическому уровню, по данным kernel.org. Дефект затрагивает обработку ядром входящих TCP-соединений IPv4 и может приводить к обращению ядра к памяти после её освобождения. По бюллетеню Red Hat, неавторизованный удалённый атакующий может использовать состояние гонки для выполнения кода; среди рисков также указаны падения системы и повреждение памяти. Для Cardano предупреждение касается как машин, производящих блоки, так и релеев, соединяющих их с внешней сетью. Документация для операторов Cardano рекомендует подключать блок-продюсеры только к собственным или доверенным релеям, чтобы изолировать их от интернета. В рекомендации Intersect нет данных об эксплуатации уязвимости против Cardano или оценок числа пулов с уязвимыми ядрами.
Трекер Ubuntu, последнее обновление которого датировано 30 октября, относит стандартные ядра для Ubuntu 22.04, 24.04, 26.04 и 26.10 к уязвимым, исправления находятся в работе. Бюллетень Red Hat от 30 октября указывает RHEL 8, 9 и 10 как затронутые и сообщает об ускорении выпуска исправлений. AlmaLinux 30 октября объявила, что исправленные ядра для версий 8, 9 и 10 доступны в тестовых репозиториях до выпуска в промышленную эксплуатацию. Компания отметила, что на тот момент исправленного ядра RHEL не было. Ошибка восходит к Linux 4.4; исправления в upstream перенесены в поддерживаемые стабильные ветки. Продемонстрированная атака использовала Multipath TCP (MPTCP). Исследователи Anthropic заявили, что их proof-of-concept позволял отправлять пакеты на Linux-сервер с MPTCP-листенером и выполнять команды с правами root без учётных данных и взаимодействия с пользователем. Команда Go Security Team предупредила, что базовая ошибка не специфична для MPTCP, поэтому уязвимыми могут быть и системы без таких листенеров. AlmaLinux советует отключать MPTCP там, где он не нужен, и перезапускать сервисы с существующими MPTCP-листенерами: изменение настройки само по себе лишь блокирует создание новых MPTCP-сокетов. Red Hat также предлагает митигацию на уровне файрвола: фильтрацию входящих TCP-пакетов IPv4 с IP-опциями. Операторам рекомендуют протестировать правило на своих рабочих нагрузках до развёртывания; фильтрация снижает риск, но не предотвращает эксплуатацию полностью. Оба вендора подчёркивают, что временные меры не заменяют установку исправленного ядра; Intersect прямо указывает на необходимость перезагрузки после обновления.
