Linux çekirdeğinin IPv4 TCP bağlantı kurma kodundaki CVE-2026-98432 için bulut ve dağıtım tarafında güncellemeler yayımlandı. AWS, 30 Ekim’de yayımladığı bülteni 1 Kasım’da güncelledi ve hizmet hizmet düzeltme takvimi verdi. Red Hat açığı “kritik” olarak sınıflandırıp geçici önlem yayımladı. Ubuntu’nun güvenlik sayfasında ise 2 Kasım itibarıyla düzeltilmiş çekirdek görünmüyor; paketlerin durumu “hazırlanıyor”.
Ne oldu
Açık, TCP el sıkışması sırasında kullanılan IPv4 seçeneklerinin bellekten erken silinmesinden kaynaklanıyor. Çekirdeğin kendi CVE kaydına göre yeni oluşan bağlantı, bekleyen isteğin seçeneklerini kopyalamadan devralıyor. Bu sırada başka bir işlemci çekirdeği yeniden gönderilen bir bağlantı isteğine yanıt hazırlarken aynı seçenekleri okumaya devam edebiliyor. Seçenekler silinmiş olsa bile okunduğu için bellek bozulması (use-after-free) ortaya çıkıyor. Aynı yarış durumu, bekleyen isteklerin soketler arasında taşındığı yapılandırmalarda da var. Düzeltme, silme işlemini güvenli bir bekleme süresinin sonuna erteliyor.
Linux CVE yetkilisi açığa CVSS 9.8 puanı verdi. Saldırı ağ üzerinden, kimlik doğrulaması ve kullanıcı etkileşimi olmadan yapılabiliyor. AWS’ye göre araştırmacılar, Multipath TCP (MPTCP) dinleyicisi olan sunucularda kimlik doğrulamasız uzaktan kod çalıştırmayı gösterdi. AWS, açığın gerçek saldırılarda kullanıldığından haberdar olmadığını yazıyor.
Kimleri etkiler
Açık, 4.4 sürümünden bu yana Linux çekirdeğinde bulunuyor. Red Hat’e göre gelen TCP bağlantılarını kabul eden sistemler en açık durumda. Red Hat, Enterprise Linux 8, 9 ve 10 ile OpenShift’i etkilenenler arasında sayıyor; Red Hat çekirdeğini kullanan diğer ürünler de olası etkilenenler listesinde. Ubuntu’da 16.04’ten 26.10’a kadar çekirdek paketleri etkileniyor. IPv6 bağlantıları açığın ilk biçiminden etkilenmiyor.
Üretici ne öneriyor
Çekirdek geliştiricileri düzeltmeyi 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 ve 7.3 sürümlerine aldı. AWS, kalıcı tek çözümün çekirdeği güncelleyip sunucuyu yeniden başlatmak olduğunu belirtiyor. Amazon Linux 2 ve Amazon Linux 2023 için düzeltilmiş çekirdekler yayında. Bottlerocket imajlarının 2 Kasım’dan, RDS ve Aurora işletim sistemi yamasının 3 Kasım’dan itibaren gelmesi bekleniyor. Lambda etkilenmiyor.
Hemen güncelleyemeyenler için AWS ve Red Hat aynı geçici önlemi öneriyor: IP seçenekleri taşıyan gelen IPv4 TCP paketlerinin güvenlik duvarında düşürülmesi. AWS ayrıca gerekmeyen yerlerde MPTCP’nin kapatılmasının riski azalttığını, ama açığı kapatmadığını ekliyor. Red Hat de geçici önlemin yamanın yerini tutmadığını ve önce test ortamında denenmesi gerektiğini vurguluyor.
Dağıtımlarda durum
Red Hat 30 Ekim’deki bülteninde düzeltmeleri hızlandırdığını yazıyor; sürüm bazında düzeltme listesi henüz yok. Ubuntu güvenlik sayfası açığa “yüksek” öncelik veriyor; 22.04, 24.04, 26.04 ve 26.10 için düzeltilmiş çekirdek paketleri hazırlanıyor, 16.04, 18.04 ve 20.04 için ise henüz düzeltme sürümü görünmüyor. Kendi sunucusunda Linux çalıştıran kurumların kendi dağıtımının güvenlik sayfasını izlemesi gerekiyor.
