آسیب‌پذیری بحرانی Use-After-Free در پشته TCP لینوکس با امتیاز ۹.۸

زمینه و مفاهیم اولیه

در سیستم‌عامل لینوکس، زمانی که یک سرور اتصال TCP جدیدی دریافت می‌کند، هسته (Kernel) لینوکس در مرحله هندشیک نصفه‌کاره (Half-open)، اطلاعات را در یک ساختار سبک به نام request socket ذخیره می‌کند. پس از تکمیل شدن هندشیک، یک سوکت کامل ایجاد می‌شود. اگر هدر IPv4 حاوی گزینه‌های خاصی (Options) باشد، هسته آن‌ها را برای استفاده در پاسخ‌ها نگه می‌دارد.

جزئیات فنی آسیب‌پذیری CVE-2026-98432

این باگ که با شناسه CVE-2026-98432 و امتیاز حیاتی ۹.۸ (CVSS) ثبت شده است، به مدیریت حافظه در هسته لینوکس مربوط می‌شود. مشکل اینجاست که هسته لینوکس گزینه‌های ذخیره‌شده را بدون کپی کردن به اتصال جدید منتقل می‌کند و پس از پایان اتصال، بلافاصله آن‌ها را آزاد (kfree) می‌سازد. در همین اثنا، ممکن است یک CPU دیگر همچنان در حال خواندن همین حافظه برای ساخت پاسخ هندشیک باشد که این وضعیت منجر به یک آسیب‌پذیری Use-After-Free می‌شود.

این باگ نسخه ۴.۴ لینوکس به بعد را تحت تأثیر قرار می‌دهد و ترافیک IPv6 مشمول این مشکل نیست. شرکت Anthropic گزارش داده است که مدل هوش مصنوعی Claude توانسته یک Proof-of-Concept برای این باگ بنویسد که روی سرورهای لینوکسی دارای لیسنر Multipath TCP (MPTCP) بدون نیاز به احراز هویت، دستورات را با دسترسی root اجرا کند. این اکسپلویت از طریق تکرار تلاش‌ها (Retry) کار می‌کند؛ زیرا شکست در این مسابقه ناشی از Race Condition صرفاً باعث ناموفق شدن هندشیک می‌شود و سیستم را کرش نمی‌دهد.

وضعیت انتشار اصلاحیه در توزیع‌ها

توسعه‌دهنده ارشد لینوکس، اریک دومازت (Eric Dumazet)، با تغییر ساده فراخوانی‌های kfree() به kfree_rcu() در یک پچ چهار خطی این مشکل را حل کرده است. این تابع جدید تضمین می‌کند که حافظه تا پایان دوره RCU Grace Period و اتمام کار تمام خوانندگان آزاد نشود.

با این حال، وضعیت انتشار پچ در توزیع‌های مختلف لینوکس متفاوت است:

• دبیان و برخی نسخه‌های SUSE و Oracle Linux اصلاحیه‌ها را ارائه کرده‌اند.
• توزیع‌هایی مانند Ubuntu و Red Hat در زمان انتشار گزارش همچنان در حال بررسی یا نیازمند به‌روزرسانی هستند.

توجه داشته باشید که از آنجا که کانتینرها از هسته میزبان (Host Kernel) استفاده می‌کنند، صرف به‌روزرسانی ایمیج کانتینر کافی نیست و باید هسته میزبان به‌روزرسانی شده و سیستم ریبوت شود.

راهکار موقت (Workaround)

اگر امکان به‌روزرسانی فوری هسته وجود ندارد، از آنجایی که ترافیک عادی TCP به ندرت دارای گزینه‌های IPv4 است، می‌توان با استفاده از ابزار nftables بسته‌هایی را که هدر IPv4 آن‌ها طولانی‌تر از مقدار استاندارد ۲۰ بایت است (یعنی حاوی Options هستند) مسدود کرد:

nft add table ip cve_2026_98432
nft add chain ip cve_2026_98432 pre '{ type filter hook prerouting priority -300; }'
nft add rule ip cve_2026_98432 pre meta l4proto tcp ip hdrlength gt 5 counter drop

نگاه جامعه هکرنیوز

در بحث‌های هکرنیوز، مهندسان به نکات جالبی اشاره کردند:

• برخی کاربران ابراز تعجب کردند که توزیع‌های بزرگی مانند اوبونتو و ردهت با وجود تمرکز روی محیط‌های سرور، پچ‌های فوری را ارائه نکرده‌اند.
• عده‌ای اشاره کردند که استفاده هوش مصنوعی Claude از این باگ و نوشتن اکسپلویت ظرف چند دقیقه، زنگ خطری جدی برای امنیت زیرساخت‌ها محسوب می‌شود.
• کاربرانی که پشت لودوبالنسرها و سرویس‌های ابری مانند AWS قرار دارند خاطرنشان کردند که لایه لودوبالنسر ممکن است جلوی دریافت مستقیم بسته‌های مخرب را بگیرد، اما همچنان به‌روزرسانی سرورهای داخلی ضروری است.