Lightning Labs désactive les écouteurs MPTCP dans lnd pour fermer la voie root démontrée sous Linux

Lightning Labs ferme la voie MPTCP

Lightning Labs a publié lnd v0.21.6-beta et le rétroportage v0.20.7-beta le 30 octobre. Les deux désactivent par défaut les écouteurs Multipath TCP, ce qui ferme la route démontrée permettant à un attaquant distant d'obtenir les droits root via LND. Lightning Labs qualifie le changement de mesure d'atténuation, pas de correctif, et précise que seul un noyau corrigé règle entièrement le problème de fond.

Les versions récentes de LND, écrites en Go, écoutaient en MPTCP sur leurs ports peer, gRPC et REST dès que le noyau prenait en charge cette fonction. Olaoluwa Osuntokun et le compte officiel de Lightning Labs ont tous deux recommandé la mise à jour. Peter Todd est allé plus loin le même jour : il a conseillé aux opérateurs qui font tourner LND sous Linux avec des ports ouverts d'arrêter leurs nœuds jusqu'à l'arrivée d'un correctif de noyau ou d'une mesure d'atténuation.

Le balayage accroît l'urgence

Le balayage de Marcus Hutchins du 30 octobre a trouvé environ 2 102 043 serveurs joignables en MPTCP sur le port 443. Un balayage TLS plus poussé en a trouvé environ 762 774. Hutchins estime que le chiffre le plus élevé est plus proche de la réalité, car une requête HTTP valide n'est pas nécessaire pour atteindre le code. Ces comptages montrent seulement l'exposition et ne prouvent pas que les noyaux ne sont pas corrigés, rapporte Cyber Security News.

Hutchins a rapporté que des proxys résidentiels et des serveurs VPN basés en Russie ont commencé à frapper le port 443 avec des connexions MPTCP à partir du 2 novembre. Les scanners ordinaires n'utilisent pas MPTCP par défaut, il soupçonne donc fortement que ce trafic vise CVE-2026-98432.

Go 1.24 et les versions suivantes demandent MPTCP pour les sockets d'écoute par défaut lorsque le noyau l'autorise, indique la Go Security Team. L'équipe avertit aussi que le bug n'est pas propre à MPTCP, si bien que des systèmes sans ces écouteurs peuvent également être vulnérables. La mise à jour de lnd ferme la voie démontrée via LND. Les autres services du même hôte restent joignables par cette voie MPTCP tant que MPTCP n'est pas désactivé à l'échelle de la machine ou que le noyau n'est pas mis à jour, rapporte Bitcoin Magazine. Canonical affirme que désactiver MPTCP seul ne suffit pas, car la faille se situe dans la voie TCP IPv4.

Le bug en dessous

CVE-2026-98432 est un use-after-free dans le code de poignée de main TCP IPv4 du noyau. L'équipe CVE du noyau Linux lui a attribué 9,8 sur 10. Le bug est présent depuis Linux 4.4, et le correctif amont est arrivé en octobre.

La Frontier Red Team d'Anthropic a partagé ses recherches le 27 octobre. Elles montrent qu'un modèle Claude non publié a écrit un exploit permettant à un attaquant distant sans identifiants d'exécuter des commandes en root contre des systèmes disposant d'un écouteur MPTCP. Dans le test en laboratoire, la fuite d'une adresse du noyau a pris 48 minutes et l'obtention d'un shell root cinq minutes de plus. Une course perdue ne fait échouer que la poignée de main et ne plante pas la machine, l'attaquant peut donc réessayer. Anthropic précise qu'il s'agissait d'un test en laboratoire, pas d'un incident réel, et n'a pas publié l'exploit.

Red Hat a d'abord noté la faille Moderate à 5,9. Cyberkendra a rapporté le 30 octobre que sa page CVE l'évaluait ensuite à 8,1, en dessous du 9,8 de l'équipe du noyau, et que son entrée Bugzilla classait la gravité comme urgente, sans nouvelle étiquette de gravité publiée. Dans un rapport de novembre, The Hacker News indique que Red Hat a relevé le score à 9,8 et l'a qualifié de Critical.

État des correctifs

Red Hat a publié RHSA-2026:93414 pour RHEL 8, RHSA-2026:93412 pour RHEL 9 et RHSA-2026:93413 pour RHEL 10 le 1er novembre. Tous exigent un redémarrage.

Canonical a indiqué le 2 novembre que les correctifs pour Ubuntu 22.04 LTS, 24.04 LTS et 26.04 LTS se trouvent dans sa poche -proposed. Il s'agit d'un canal de test sur opt-in dont les paquets ne s'installent pas automatiquement. Canonical teste les mises à jour du noyau sur plus de 2 000 serveurs et appareils certifiés avant de les pousser vers le canal régulier. Aucune date de publication n'a été donnée. « L'équipe de sécurité d'Ubuntu estime que les mises à jour de sécurité sont la seule atténuation appropriée », a déclaré Canonical.

UmbrelOS 2.0.1 embarquait le correctif du noyau pour les appareils x86 le 1er novembre. Il a appliqué une mesure d'atténuation bloquant le trafic sur Raspberry Pi, où un noyau corrigé n'était pas encore disponible. Personne n'a signalé d'exploitation confirmée dans la nature, et la faille ne figure pas au catalogue des vulnérabilités exploitées connues de la CISA.

Atténuations provisoires

Red Hat a publié le 30 octobre une règle nftables qui supprime les paquets TCP IPv4 entrants portant des options IP. L'entreprise indique qu'elle ne peut pas empêcher totalement l'exploitation et qu'elle risque de casser des charges de travail qui dépendent des options IPv4. Le filtre ne s'applique qu'à l'hôte où il est chargé ; le trafic entre conteneurs sur le même hôte peut le contourner, a noté un membre de l'équipe noyau de CIQ sur la liste de diffusion oss-security.