SANS ISC erklärt, wie man Multipath TCP im Netz erkennt, nach neuer Linux-MPTCP-Lücke

Serguey Asael Shinder03 November 2026, 08:151 Min. Lesezeit

Nach dem Bericht über eine Schwachstelle in der Linux-Implementierung von Multipath TCP in der vergangenen Woche hat Johannes Ullrich vom SANS Internet Storm Center am 2. November ein Tagebuch veröffentlicht, das den Fehler beiseitelässt und stattdessen das Protokoll erklärt und zeigt, wie Verteidiger es im eigenen Netz sehen.

MPTCP, beschrieben in RFC 8684, lässt eine logische Verbindung über mehrere TCP-Teilflüsse von verschiedenen Adressen laufen. So kann ein Telefon vom WLAN ins Mobilfunknetz wechseln, ohne die Sitzung zu verlieren, und ein Server eine schnelle Leitung mit mehr als einer Verbindung auslasten. Ullrich schreibt, die einzige verbreitete Implementierung, die er beobachtet habe, sei die von iOS und iPadOS: IPv4-Verbindungen in Apples Netz 17.0.0.0/8 nutzten sie oft, zuerst für Siri, später für Dienste wie Apple Music.

Das Tagebuch beschreibt die TCP-Option mit der Nummer 30 und ihre Untertypen: MP_CAPABLE im Handshake mit einem 8-Byte-Schlüssel, MP_JOIN zum Hinzufügen eines Teilflusses, DSS zur Abbildung der Sequenznummern jedes Teilflusses auf den Gesamtstrom sowie ADD_ADDR und REMOVE_ADDR zum Bekanntgeben von Adressen. Laut RFC darf jede Seite einen neuen Teilfluss öffnen, üblich ist der Client; einen vom Server begonnenen blockieren gewöhnliche Firewall-Regeln.

Was das bedeutet

Für Netzwerkteams ergibt sich eine Ausgangslage: Tauchen MPTCP-Optionen in Verkehr auf, der nicht zu Apple geht, ist das ungewöhnlich genug für einen Blick. Ob ein Linux-Rechner von der neuen Lücke betroffen ist, hängt davon ab, ob MPTCP in seinem Kernel aktiv ist, und das beantwortet der Hinweis der Distribution, nicht dieses Tagebuch.