Ne oldu

Red Hat, Linux çekirdeğinin IPv4 TCP kodundaki bir kullanıldıktan sonra bellek serbest bırakma (use-after-free) açığı için RHEL 8, 9 ve 10'a düzeltilmiş çekirdekler yayımladı. CVE-2026-98432 olarak izlenen açığa uzak, kimliği doğrulanmamış bir saldırgan erişebiliyor ve uzaktan kod çalıştırmaya yol açabiliyor. Çekirdeğin kendi CVE ekibi açığı 10 üzerinden 9,8 puanlıyor; Red Hat başta 5,9 ile "Orta" demişti, şimdi puanı 9,8'e çıkarıp "Kritik" diyor.

Kimler etkileniyor

Linux 4.4'ten beri bulunan hatadan IPv4 üzerinde TCP bağlantısı kabul eden her sunucu etkilenebilir; bu RHEL ve Ubuntu sunucuları, bulut sanal makineleri ve ağ cihazı çekirdekleri anlamına geliyor. Ubuntu 22.04, 24.04 ve 26.04 LTS için düzeltmeler henüz yalnızca isteğe bağlı test kanalında (-proposed), düzenli güncelleme için tarih yok.

Teknik ayrıntı

Bir sunucu IPv4 TCP bağlantısı kabul ettiğinde çekirdek, gelen isteğin IP seçeneklerini kopyalamadan yeni sokete aktarıyor. İstemci bağlantı isteğini yeniden gönderirken başka bir işlemci bu seçenekleri hâlâ okuyorsa çekirdek serbest bırakılmış belleği okuyabiliyor. Saldırgan, herhangi bir dinleyen TCP portuna IPv4 Record Route ya da Timestamp seçenekleri taşıyan bağlantı istekleri göndererek bu yarışı tetikliyor; oturum açmak gerekmiyor. Ana yolda IPv6 etkilenmiyor. Yukarı akış düzeltmesi Ekim'de geldi. Red Hat RHSA-2026:93414 (RHEL 8), RHSA-2026:93412 (RHEL 9) ve RHSA-2026:93413 (RHEL 10) bültenlerini 1 Kasım'da yayımladı; kurulum sonrası yeniden başlatma gerekiyor. Sahada istismar bildirimi bu haberde yok.

Ne yapmalı

  • RHEL sunucularında ilgili çekirdek güncellemesini kurup yeniden başlatın.
  • Ubuntu için -proposed kanalındaki düzeltmeyi, riskli ve internete açık sistemlerde test ederek değerlendirin; düzenli güncellemeyi izleyin.
  • Dış ağdan gelen ve IP seçenekleri taşıyan paketleri sınır güvenlik duvarında engelleyip engelleyemeyeceğinizi değerlendirin.

Doğrulama

Tek kaynaklı iddia. Ayrıntılar THN aktarımından okundu; Red Hat ve Canonical bültenlerinin kendisi açılmadı. Sahada istismar bildirilmedi.

Görsel: thehackernews.com

Kaynaklar