TCP यूज़-आफ्टर-फ्री: CVE-2026-98432 / CVSS 9.8

मूल लेख ↗ Hacker News चर्चा ↗

एक गंभीर Linux kernel vulnerability (CVE-2026-98432, CVSS 9.8) IPv4 TCP stack में है, जहाँ TCP handshake के दौरान use-after-free होता है; Anthropic ने दिखाया कि इसे remote root exploit में बदला जा सकता है, खासकर उन systems पर जिनमें multipath TCP (MPTCP) listeners हैं। टिप्पणीकार व्यावहारिक प्रभाव और mitigations पर ध्यान देते हैं: कई distributions और OpenWrt अभी भी fixed kernels रोल आउट कर रहे हैं, MPTCP को अक्सर disable किया जा सकता है, और firewall या XDP के ज़रिए IP options वाले IPv4 packets को drop करना आंशिक सुरक्षा के रूप में सुझाया गया है, हालांकि यह पूर्ण fix नहीं है। Unpatched routers और IoT devices को लेकर व्यापक चिंता है, Ubuntu और RHEL जैसे vendors की प्रतिक्रिया गति पर बहस है, और इस बात पर विचार है कि AI-driven vulnerability discovery तथा critical subsystems में memory-unsafe C code security landscape को कैसे बदल रहे हैं.

भेद्यता का दायरा और प्रकृति

  • Linux IPv4 TCP हैंडलिंग में हैंडशेक के दौरान use-after-free, जो उस कोड में होता है जो ट्रैफ़िक के एप्लिकेशन तक पहुँचने से पहले चलता है।
  • सफल exploit प्रभावित kernels पर root के रूप में remote code execution हासिल कर सकता है।
  • IPv6 पथ को अप्रभावित बताया गया है; समस्या IPv4 options handling से जुड़ी है।
  • Exploit multi-core systems पर आसान है; single-core या single-queue setups व्यावहारिक रूप से सुरक्षित हो सकते हैं।

Multipath TCP (MPTCP) की भूमिका

  • थ्रेड में असहमति:
    • चर्चा की एक धारा: MPTCP listeners के माध्यम से exploitability प्रदर्शित की गई (जैसे Go 1.24 द्वारा डिफ़ॉल्ट रूप से MPTCP सक्षम करना, Caddy/Tailscale जैसे कुछ servers इसका उपयोग करते हैं)।
    • अन्य लोग ज़ोर देते हैं कि bug generic TCP code में है; MPTCP ने सिर्फ proof-of-concept को आसान बनाया, और non-MPTCP path भी संभवतः exploitable हो सकता है।
  • स्पष्ट किया गया कि MPTCP TCP options का उपयोग करता है, जबकि bug IP options में है; यहाँ कुछ भ्रम को स्पष्ट रूप से इंगित किया गया है।

कौन प्रभावित है

  • कहा गया है कि Linux kernels 4.4 से लेकर कुछ निश्चित fixed releases (जैसे 5.15.225, 6.1.190, आदि) तक सभी प्रभावित हैं।
  • प्रमुख distros:
    • Debian ने fixes जारी कर दिए हैं; Ubuntu और RHEL की देरी के लिए आलोचना की गई है, हालांकि Ubuntu के kernels “proposed” में हैं और RHEL MPTCP को डिफ़ॉल्ट रूप से disabled करके ship करता है।
    • Proxmox का कहना है कि उसने अपनी own pipeline के ज़रिए पहले ही patched kernels ship कर दिए थे।
  • OpenWrt और अन्य router distros अक्सर vulnerable kernels चलाते हैं, हालांकि WAN-facing services अक्सर default रूप से बंद या firewalled होती हैं।

Mitigations और व्यावहारिक exploitability

  • सामान्य सुझाई गई mitigations:
    • MPTCP disable करें (sysctl net.mptcp.enabled = 0, Go GODEBUG/go.mod flags)।
    • Firewall स्तर पर IP options वाले IPv4 packets drop करें (iptables/nftables/ufw; अधिक भरोसे के लिए XDP)।
  • कुछ लोग नोट करते हैं कि कई ISP और enterprise routers पहले से ही IP options drop करते हैं; अन्य का कहना है कि यह सार्वभौमिक नहीं है।
  • रिपोर्ट किया गया lab exploit: kernel pointer leak करने में लगभग 48 मिनट, फिर shell पाने में लगभग 5 मिनट।

Routers, IoT, और consumer gear

  • चिंता है कि कई embedded devices (routers, “smart” gadgets) प्रभावित Linux versions चलाते हैं लेकिन कभी updates नहीं पाते।
  • आंशिक राहत: कुछ सस्ते IoT boxes single-core या पुराने kernels पर हो सकते हैं; दूसरे लोग बताते हैं कि multi-core consumer routers अब आम हैं।

Ecosystem और operational बहस

  • “Enterprise” distros की धीमी प्रतिक्रिया की कड़ी आलोचना, जबकि तेज़ी से चलने वाली projects की प्रशंसा की गई।
  • कुछ admins ने patches आने तक servers बंद कर दिए या उन्हें बहुत सख्ती से locked down किया।
  • चर्चा कि लगातार गंभीर CVEs + LLM-सहायता प्राप्त exploit discovery shorter patch cycles और बेहतर isolation (VMs, bastions, VLANs) को मजबूर कर सकती है।

Languages, architecture, और AI

  • अधिक Rust और memory-safe networking stacks के लिए नई अपीलें; counter-arguments कि rewrites नए (गैर-memory) bugs ला सकती हैं और अक्सर फिर भी unsafe पर निर्भर रहती हैं।
  • उल्लेख कि Linux kernel के कुछ हिस्सों को पहले ही Rust में स्थानांतरित किया जा रहा है (जैसे कुछ drivers)।
  • LLMs पर मिश्रित विचार:
    • bugs खोजने और weaponize करने के शक्तिशाली tools के रूप में देखा गया।
    • चिंता कि AI एक स्थायी “CVE flood” को बढ़ावा देगा, लेकिन यह आशावाद भी कि पुराने bugs को उजागर करना long term में systems को अधिक secure बना सकता है।

रवैये और अनिश्चितता

  • कुछ लोग इसे public-facing Linux servers के लिए लगभग आपातकाल मानते हैं; अन्य लोग इसे व्यापक इंटरनेट पर exploit करना कठिन मानकर downplay करते हैं और mitigations व load balancers को देखते हुए इसे “nothingburger” बताते हैं।
  • थ्रेड में कई प्रश्न अभी भी अस्पष्ट हैं, जिनमें विभिन्न middleboxes के पीछे exact exploitability और यह कि क्या सुझाए गए सभी firewall rules non-MPTCP paths को पूरी तरह mitigate करते हैं, शामिल हैं।