Lightning Labs deaktiviert MPTCP-Listener in lnd und schließt den nachgewiesenen Root-Pfad unter Linux

Lightning Labs schließt den MPTCP-Pfad

Lightning Labs hat am 30. Oktober lnd v0.21.6-beta und den Backport v0.20.7-beta veröffentlicht. Beide deaktivieren Multipath-TCP-Listener standardmäßig. Damit ist der nachgewiesene Weg dicht, über den ein Angreifer aus der Ferne über LND Root-Rechte erlangen konnte. Lightning Labs nennt die Änderung eine Mitigation, keinen Fix. Nur ein gepatchter Kernel beseitige das eigentliche Problem vollständig, heißt es dort.

Neuere LND-Versionen sind in Go geschrieben und lauschten auf ihren Peer-, gRPC- und REST-Ports über MPTCP, sobald der Kernel die Funktion unterstützte. Olaoluwa Osuntokun und der offizielle Lightning-Labs-Account empfahlen beide das Update. Peter Todd ging am selben Tag weiter: Betreiber, die LND unter Linux mit offenen Ports laufen lassen, sollten ihre Nodes abschalten, bis ein Kernel-Patch oder eine Mitigation vorliegt.

Scans erhöhen den Druck

Ein Scan von Marcus Hutchins am 30. Oktober fand rund 2.102.043 Server, die über MPTCP auf Port 443 erreichbar waren. Ein tiefergehender TLS-Scan fand etwa 762.774. Hutchins hält die höhere Zahl für realistischer, weil kein gültiger HTTP-Request nötig sei, um den Code zu erreichen. Die Zahlen zeigen nur die Exposition und belegen nicht, dass die Kernel ungepatcht sind, berichtet Cyber Security News.

Hutchins meldete, dass ab dem 2. November Residential-Proxys und VPN-Server mit Standort Russland Port 443 mit MPTCP-Verbindungen ansprachen. Normale Scanner nutzen MPTCP nicht standardmäßig. Deshalb vermutet er stark, dass der Traffic auf CVE-2026-98432 zielt.

Go 1.24 und später fordern für Listening-Sockets standardmäßig MPTCP an, wenn der Kernel es erlaubt, so das Go Security Team. Das Team warnte außerdem, der Fehler sei nicht auf MPTCP beschränkt. Auch Systeme ohne solche Listener können demnach verwundbar sein. Das lnd-Update schließt den nachgewiesenen Pfad über LND. Andere Dienste auf demselben Host bleiben über diesen MPTCP-Pfad erreichbar, bis MPTCP hostweit deaktiviert oder der Kernel aktualisiert wird, berichtet Bitcoin Magazine. Canonical erklärte, das bloße Abschalten von MPTCP reiche nicht, weil der Fehler im IPv4-TCP-Pfad liege.

Der Fehler darunter

CVE-2026-98432 ist eine Use-after-free-Schwachstelle im IPv4-TCP-Handshake-Code des Kernels. Das CVE-Team des Linux-Kernels bewertete sie mit 9,8 von 10. Der Fehler besteht seit Linux 4.4, der Upstream-Fix kam im Oktober.

Das Frontier Red Team von Anthropic veröffentlichte am 27. Oktober Forschungsergebnisse. Darin schrieb ein nicht veröffentlichtes Claude-Modell einen Exploit. Mit ihm konnte ein Angreifer ohne Zugangsdaten Befehle als Root auf Systemen mit einem MPTCP-Listener ausführen. Im Labortest dauerte es 48 Minuten, eine Kernel-Adresse preiszugeben, und fünf weitere Minuten bis zu einer Root-Shell. Ein verlorenes Race lässt nur den Handshake scheitern und stürzt die Maschine nicht ab. Der Angreifer kann es deshalb erneut versuchen. Anthropic betonte, es habe sich um einen Labortest gehandelt, nicht um einen Vorfall in der Praxis, und der Exploit sei nicht veröffentlicht worden.

Red Hat stufte den Fehler zunächst mit 5,9 als Moderate ein. Cyberkendra berichtete am 30. Oktober, die CVE-Seite habe ihn dann mit 8,1 bewertet, unter den 9,8 des Kernel-Teams. Der Bugzilla-Eintrag habe den Schweregrad urgent geführt, ohne dass ein neues Schweregrad-Label veröffentlicht wurde. In einem Bericht im November schrieb The Hacker News, Red Hat habe die Bewertung auf 9,8 angehoben und als Critical eingestuft.

Stand der Patches

Red Hat veröffentlichte am 1. November RHSA-2026:93414 für RHEL 8, RHSA-2026:93412 für RHEL 9 und RHSA-2026:93413 für RHEL 10. Alle erfordern einen Neustart.

Canonical erklärte am 2. November, die Fixes für Ubuntu 22.04 LTS, 24.04 LTS und 26.04 LTS lägen in der -proposed-Pocket. Das ist ein Opt-in-Testkanal, dessen Pakete sich nicht automatisch installieren. Canonical testet Kernel-Updates auf mehr als 2.000 zertifizierten Servern und Geräten, bevor sie in den regulären Kanal gehen. Ein Veröffentlichungsdatum nannte das Unternehmen nicht. "The Ubuntu Security Team believes that security updates are the only appropriate mitigation," erklärte Canonical.

UmbrelOS 2.0.1 enthielt am 1. November den Kernel-Fix für x86-Geräte. Auf dem Raspberry Pi setzte es eine trafficblockierende Mitigation ein, weil ein gepatchter Kernel noch nicht verfügbar war. Niemand hat eine bestätigte Ausnutzung in der Praxis gemeldet, und der Fehler steht nicht im Katalog Known Exploited Vulnerabilities von CISA.

Übergangslösungen

Red Hat veröffentlichte am 30. Oktober eine nftables-Regel, die eingehende IPv4-TCP-Pakete mit IP-Optionen verwirft. Das Unternehmen erklärt, sie könne eine Ausnutzung nicht vollständig verhindern und möglicherweise Workloads stören, die auf IPv4-Optionen angewiesen sind. Der Filter gilt nur für den Host, auf dem er geladen ist. Traffic zwischen Containern auf demselben Host kann ihn umgehen, merkte ein Mitglied des CIQ-Kernel-Teams auf der Mailingliste oss-security an.