Lightning Labs disattiva i listener MPTCP in lnd per chiudere la via root dimostrata su Linux

Lightning Labs chiude la via MPTCP

Il 30 ottobre Lightning Labs ha rilasciato lnd v0.21.6-beta e il backport v0.20.7-beta. Entrambi disattivano per impostazione predefinita i listener Multipath TCP. Così si chiude la strada dimostrata con cui un attaccante remoto può ottenere i privilegi di root attraverso LND. Lightning Labs ha definito la modifica una mitigazione, non una correzione, e ha precisato che solo un kernel aggiornato risolve del tutto il problema di fondo.

Le versioni recenti di LND, scritte in Go, ascoltavano con MPTCP sulle porte peer, gRPC e REST ogni volta che il kernel supportava la funzionalità. Olaoluwa Osuntokun e l'account ufficiale di Lightning Labs hanno consigliato l'aggiornamento. Peter Todd è andato oltre lo stesso giorno: a chi gestiva LND su Linux con porte aperte ha consigliato di spegnere i nodi finché non fosse arrivata una patch del kernel o una mitigazione.

La scansione alza l'urgenza

La scansione di Marcus Hutchins del 30 ottobre ha trovato circa 2.102.043 server raggiungibili via MPTCP sulla porta 443. Una scansione TLS più approfondita ne ha trovati circa 762.774. Hutchins sostiene che la cifra più alta sia più vicina alla realtà, perché per raggiungere il codice non serve una richiesta HTTP valida. I conteggi indicano solo l'esposizione e non dimostrano che i kernel siano privi di patch, ha riportato Cyber Security News.

Hutchins ha riferito che proxy residenziali e server VPN con sede in Russia hanno iniziato a colpire la porta 443 con connessioni MPTCP dal 2 novembre. I normali scanner non usano MPTCP per impostazione predefinita, quindi sospetta fortemente che il traffico punti a CVE-2026-98432.

Go 1.24 e versioni successive richiedono MPTCP per i socket in ascolto per impostazione predefinita quando il kernel lo consente, ha dichiarato il Go Security Team. Il team ha anche avvertito che il bug non riguarda solo MPTCP: anche i sistemi senza quei listener possono essere vulnerabili. L'aggiornamento di lnd chiude il percorso dimostrato attraverso LND. Gli altri servizi sullo stesso host restano raggiungibili attraverso quella via MPTCP finché MPTCP non viene disattivato su tutto l'host o il kernel non viene aggiornato, ha riportato Bitcoin Magazine. Canonical ha affermato che disattivare solo MPTCP non basta, perché il difetto si trova nel percorso TCP IPv4.

Il bug sotto

CVE-2026-98432 è un use-after-free nel codice di handshake TCP IPv4 del kernel. Il team CVE del kernel Linux lo ha valutato 9.8 su 10. Il bug è presente da Linux 4.4 e la correzione upstream è arrivata in ottobre.

Il Frontier Red Team di Anthropic ha condiviso la ricerca il 27 ottobre. Mostrava che un modello Claude non rilasciato aveva scritto un exploit capace di far eseguire comandi come root a un attaccante remoto senza credenziali, contro sistemi con un listener MPTCP. Nel test di laboratorio, far trapelare un indirizzo del kernel ha richiesto 48 minuti e arrivare a una shell root altri cinque. Una race persa fa fallire solo l'handshake e non manda in crash la macchina, quindi l'attaccante può riprovare. Anthropic ha precisato che si trattava di un test di laboratorio, non di un incidente reale, e non ha rilasciato l'exploit.

Red Hat ha inizialmente valutato la falla Moderate a 5.9. Cyberkendra ha riportato il 30 ottobre che la sua pagina CVE la segnava poi 8.1, sotto il 9.8 del team del kernel, e che la voce su Bugzilla indicava la gravità come urgent, senza pubblicare una nuova etichetta di gravità. In un rapporto di novembre, The Hacker News ha scritto che Red Hat aveva alzato il punteggio a 9.8 e l'aveva definita Critical.

Stato delle patch

Il 1 novembre Red Hat ha rilasciato RHSA-2026:93414 per RHEL 8, RHSA-2026:93412 per RHEL 9 e RHSA-2026:93413 per RHEL 10. Tutti richiedono un riavvio.

Il 2 novembre Canonical ha dichiarato che le correzioni per Ubuntu 22.04 LTS, 24.04 LTS e 26.04 LTS si trovano nel pocket -proposed. È un canale di test su adesione volontaria, i cui pacchetti non si installano automaticamente. Canonical prova gli aggiornamenti del kernel su oltre 2.000 server e dispositivi certificati prima di spingerli sul canale regolare. Non ha indicato una data di rilascio. "The Ubuntu Security Team believes that security updates are the only appropriate mitigation", ha dichiarato Canonical.

UmbrelOS 2.0.1 conteneva la correzione del kernel per i dispositivi x86 il 1 novembre. Su Raspberry Pi ha applicato una mitigazione che blocca il traffico, perché un kernel corretto non era ancora disponibile. Nessuno ha segnalato uno sfruttamento confermato in the wild e la falla non è nel catalogo Known Exploited Vulnerabilities della CISA.

Mitigazioni temporanee

Il 30 ottobre Red Hat ha pubblicato una regola nftables che scarta i pacchetti TCP IPv4 in ingresso con opzioni IP. L'azienda afferma che non può impedire del tutto lo sfruttamento e che potrebbe rompere i carichi di lavoro che dipendono dalle opzioni IPv4. Il filtro vale solo per l'host su cui è caricato; il traffico tra container sullo stesso host può aggirarlo, ha osservato un membro del team kernel di CIQ sulla mailing list oss-security.