Linux-Fehler in Multipath TCP gibt Root aus der Ferne; Go nutzt MPTCP ab Werk
Serguey Asael Shinder2 Min. LesezeitEine aus der Ferne auslösbare Schwachstelle im Netzwerkstack des Linux-Kernels erlaubt Angreifern, auf einem Server mit offenem Multipath-TCP-Listener Befehle als root auszuführen, ohne Zugangsdaten und ohne Zutun eines Nutzers. Sie wird als CVE-2026-98432 geführt (https://nvd.nist.gov/vuln/detail/cve-2026-98432) und wurde am 27. Oktober von Anthropic als eine von fünf Angriffsketten beschrieben, die mit einem internen Forschungsmodell gefunden wurden.
Laut dieser Darstellung handelt es sich um ein Use-after-free infolge einer Race Condition. Wie LWN zusammenfasste, entsteht eine Antwort auf ein erneut gesendetes SYN genau in dem Moment, in dem ein anderer Thread die Verbindung abschließt und deren Optionsstruktur freigibt; der erste Thread liest oder schreibt dann Speicher, der ihm nicht mehr gehört. Anthropics Proof of Concept nutzt das zweimal: zuerst, um den Kernel zusätzliche Bytes an den Angreifer zurückkopieren zu lassen, bis eine Antwort einen Kernel-Zeiger verrät und KASLR aushebelt; danach, um einen Puffer zu überlaufen und einen Callback-Zeiger zu überschreiben, sodass eine über eine gewöhnliche Protokollfunktion abgelegte Nutzlast einen Shell-Befehl als root ausführt. Ein verlorenes Rennen lässt nur den Verbindungsaufbau scheitern, statt das System abstürzen zu lassen, der Angreifer kann es also wiederholen. In der Demonstration dauerte das Auslesen des Zeigers 48 Minuten, die Ausführung weitere fünf.
Die Korrektur im Hauptzweig (https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=e3f33b0a1d89d738e2b913dab519226eaf76e15b) von Eric Dumazet gibt die Optionsstrukturen erst nach einer RCU-Gnadenfrist frei. Laut Anthropic wurde sie in alle gepflegten Stable-Zweige zurückportiert; Debian hat sie mit DSA-6568-1 ausgeliefert (https://security-tracker.debian.org/tracker/DSA-6568-1).
Die Reichweite ist größer, als „Systeme mit MPTCP“ vermuten lässt. LWN verweist darauf, dass das Go-Sicherheitsteam am 29. Oktober darauf hinwies, dass Go-Programme Multipath TCP standardmäßig verwenden. Damit fällt auf einem ungepatchten Kernel ein großer Teil der in Go geschriebenen Netzwerkdienste in den Anwendungsbereich.
Was das bedeutet
Den Kernel aktualisieren; das ist kein Update einer Bibliothek im Userspace, und neu gebaute Go-Binärdateien ändern nichts. Wo noch kein gepatchter Kernel bereitsteht, entfernt das Abschalten von MPTCP über den sysctl net.mptcp.enabled den gemeldeten Angriffsweg. Kernel ohne CONFIG_MPTCP sind darüber nicht angreifbar.