Lightning Labs wyłącza nasłuch MPTCP w lnd, zamykając drogę do roota

Lightning Labs zamyka ścieżkę przez MPTCP

Lightning Labs wydało lnd v0.21.6-beta oraz backport v0.20.7-beta 30 października. Obie wersje domyślnie wyłączają nasłuch Multipath TCP. Zamykają tym samym zademonstrowaną drogę, którą zdalny atakujący mógł zdobyć uprawnienia roota przez LND. Lightning Labs nazwało tę zmianę mitygacją, a nie poprawką, i podało, że problem rozwiązuje w pełni dopiero załatane jądro.

Nowsze wersje LND, napisane w Go, nasłuchiwały z użyciem MPTCP na portach peer, gRPC i REST, ilekroć jądro obsługiwało tę funkcję. Olaoluwa Osuntokun i oficjalne konto Lightning Labs zalecili aktualizację. Peter Todd poszedł tego samego dnia dalej: doradził operatorom, którzy uruchamiają LND na Linuksie z otwartymi portami, wyłączenie węzłów do czasu pojawienia się łatki jądra lub mitygacji.

Skanowanie zwiększa pilność

Skan Marcusa Hutchinsa z 30 października wykazał około 2 102 043 serwerów dostępnych przez MPTCP na porcie 443. Głębszy skan TLS dał około 762 774. Hutchins przekonuje, że wyższa liczba jest bliższa prawdy, bo dotarcie do kodu nie wymaga poprawnego żądania HTTP. Liczby pokazują tylko ekspozycję i nie dowodzą, że jądra są niezałatane, podał Cyber Security News.

Hutchins poinformował, że od 2 listopada proxy rezydencjalne i serwery VPN w Rosji zaczęły uderzać w port 443 połączeniami MPTCP. Typowe skanery nie używają MPTCP domyślnie, więc jego zdaniem ruch niemal na pewno celuje w CVE-2026-98432.

Go 1.24 i nowsze domyślnie żądają MPTCP dla gniazd nasłuchujących, gdy jądro na to pozwala, podał Go Security Team. Zespół ostrzegł też, że błąd nie dotyczy wyłącznie MPTCP, więc podatne mogą być również systemy bez takich gniazd. Aktualizacja lnd zamyka zademonstrowaną ścieżkę przez LND. Inne usługi na tym samym hoście pozostają dostępne tą drogą, dopóki MPTCP nie zostanie wyłączone w całym systemie albo jądro nie zostanie zaktualizowane, podał Bitcoin Magazine. Canonical podał, że samo wyłączenie MPTCP nie wystarczy, bo wada jest w ścieżce TCP dla IPv4.

Błąd, który leży pod spodem

CVE-2026-98432 to use-after-free w kodzie uzgadniania połączenia TCP dla IPv4 w jądrze. Zespół CVE samego jądra Linuksa ocenił go na 9,8 z 10. Błąd jest obecny od Linuksa 4.4, a poprawka w głównym drzewie weszła w październiku.

Frontier Red Team firmy Anthropic udostępnił wyniki badań 27 października. Wynikało z nich, że niewydany model Claude napisał exploit, który pozwalał zdalnemu atakującemu bez poświadczeń uruchamiać polecenia jako root na systemach z nasłuchem MPTCP. Pozwalał on zdalnemu atakującemu bez poświadczeń uruchamiać polecenia jako root na systemach z nasłuchem MPTCP. W teście laboratoryjnym wyciek adresu jądra zajął 48 minut, a dojście do powłoki roota kolejne pięć. Przegrany wyścig psuje tylko uzgadnianie i nie wysypuje maszyny, więc atakujący może próbować dalej. Anthropic zastrzegł, że to test laboratoryjny, a nie rzeczywisty incydent, i nie udostępnił exploita.

Red Hat najpierw ocenił wadę jako umiarkowaną (Moderate) na 5,9. Cyberkendra podała 30 października, że strona CVE firmy oceniła ją potem na 8,1, czyli niżej niż 9,8 zespołu jądra, a wpis w Bugzilli miał ważność „urgent”, przy czym nowej etykiety ważności nie opublikowano. W listopadowym tekście The Hacker News napisał, że Red Hat podniósł ocenę do 9,8 i nazwał ją krytyczną (Critical).

Stan łatek

Red Hat wydał 1 listopada RHSA-2026:93414 dla RHEL 8, RHSA-2026:93412 dla RHEL 9 i RHSA-2026:93413 dla RHEL 10. Wszystkie wymagają restartu.

Canonical poinformował 2 listopada, że poprawki dla Ubuntu 22.04 LTS, 24.04 LTS i 26.04 LTS są w kieszeni -proposed. To kanał testowy wymagający zgody, którego pakiety nie instalują się automatycznie. Canonical testuje aktualizacje jądra na ponad 2 000 certyfikowanych serwerach i urządzeniach, zanim trafią do zwykłego kanału. Daty wydania nie podał. Canonical podał: „Zespół bezpieczeństwa Ubuntu uważa, że aktualizacje bezpieczeństwa są jedyną właściwą mitygacją”.

UmbrelOS 2.0.1 zawierał poprawkę jądra dla urządzeń x86 1 listopada. Na Raspberry Pi zastosował mitygację blokującą ruch, bo załatanego jądra jeszcze nie było. Nikt nie zgłosił potwierdzonego wykorzystania w praktyce, a wada nie figuruje w katalogu Known Exploited Vulnerabilities CISA.

Mitygacje tymczasowe

Red Hat opublikował 30 października regułę nftables, która odrzuca przychodzące pakiety TCP IPv4 z opcjami IP. Firma podaje, że nie zapobiega to w pełni wykorzystaniu i może psuć obciążenia zależne od opcji IPv4. Filtr działa tylko na hoście, na którym go wczytano; ruch między kontenerami na tym samym hoście może go ominąć, zauważył członek zespołu jądra CIQ na liście oss-security.