Lỗ hổng nghiêm trọng trên TCP của Linux cho phép thực thi mã từ xa mà không cần xác thực

Red Hat đã phát hành các bản vá quan trọng để xử lý một lỗ hổng thực thi mã từ xa nghiêm trọng trong kernel Linux, trong khi Ubuntu đưa các bản sửa lỗi vào kênh thử nghiệm opt-in. Lỗ hổng này, được xác định là CVE-2026-98432, ảnh hưởng đến triển khai IPv4 TCP và có điểm CVSS là 9.8/10. Sự kiện này đánh dấu một vấn đề bảo mật đáng kể đối với các đội ngũ hạ tầng đang quản lý máy chủ Linux trên các bản phân phối chính.

Chuyện gì đã xảy ra

Lỗ hổng bắt nguồn từ lỗi use-after-free trong cách kernel Linux xử lý các kết nối IPv4 TCP. Khi một máy chủ chấp nhận kết nối, nó truyền các tùy chọn IP từ yêu cầu gửi đến sang socket mới mà không tạo bản sao. Nếu một client gửi lại (retransmit) yêu cầu kết nối trong khi bộ vi xử lý khác vẫn đang đọc các tùy chọn đó, kernel có thể truy cập vào vùng nhớ đã được giải phóng. Kẻ tấn công có thể kích hoạt điều kiện tranh chấp (race condition) này bằng cách gửi các yêu cầu kết nối kèm theo các tùy chọn IPv4 Record Route hoặc Timestamp tới bất kỳ cổng TCP nào đang lắng nghe. Không cần xác thực và vector tấn công hoàn toàn từ xa.

Ban đầu, Red Hat đánh giá vấn đề này ở mức độ Trung bình (Moderate) với điểm số 5.9, nhưng sau đó đã nâng lên mức Nghiêm trọng (Critical) với điểm 9.8 sau khi phân tích sâu hơn. Lỗi này đã tồn tại trong kernel từ phiên bản 4.4, mặc dù bản sửa lỗi upstream chỉ được hợp nhất vào tháng Mười. Red Hat đã cung cấp các bản cập nhật cho RHEL 8, 9 và 10 vào ngày 1 tháng 11, yêu cầu khởi động lại để áp dụng hiệu lực. Ubuntu thông báo vào ngày 2 tháng 11 rằng các bản sửa lỗi cho các phiên bản LTS 22.04, 24.04 và 26.04 hiện có sẵn trong pocket -proposed, một kênh thử nghiệm opt-in. Canonical tuyên bố rằng chưa có ngày phát hành cụ thể cho kênh cập nhật chính thức, vì họ vẫn đang tiếp tục kiểm thử trên hơn 2.000 thiết bị được chứng nhận.

Cơ chế hoạt động

Cơ chế cốt lõi liên quan đến một điều kiện tranh chấp trong quá trình bắt tay TCP (TCP handshake). Thông thường, khi một gói tin TCP đến, kernel sẽ xử lý các tiêu đề và tùy chọn của nó. Trong triển khai bị lỗi này, kernel tham chiếu trực tiếp các tùy chọn IP từ buffer gói tin gốc thay vì sao chép chúng vào một vị trí an toàn và bền vững. Nếu stack mạng xử lý đồng thời việc gửi lại cùng một gói tin trên một lõi CPU khác, buffer gốc có thể bị giải phóng hoặc tái sử dụng trước khi lần đọc thứ hai hoàn tất. Điều này cho phép kẻ tấn công thao túng nội dung bộ nhớ đang được đọc, dẫn đến khả năng thực thi mã tùy ý với đặc quyền root.

IPv6 không bị ảnh hưởng trên đường dẫn chính, giới hạn phạm vi tác động chỉ ở lưu lượng IPv4. Mặc dù một số chuyên gia tư vấn đề xuất vô hiệu hóa Multipath TCP (MPTCP) như một biện pháp tạm thời, Canonical làm rõ rằng lỗ hổng nằm trong đường dẫn TCP IPv4 tiêu chuẩn, khiến các cài đặt MPTCP không liên quan đến vector khai thác chính. Biện pháp giảm thiểu đáng tin cậy duy nhất vẫn là áp dụng bản vá kernel. Red Hat đã cung cấp một quy tắc nftables tạm thời để loại bỏ các gói tin TCP IPv4 đi vào có chứa tùy chọn IP, nhưng điều này có thể phá vỡ các khối lượng công việc hợp lệ và không ngăn chặn hoàn toàn việc khai thác, đặc biệt là đối với lưu lượng container trên cùng một host.

Chi tiết chính

• ID lỗ hổng: CVE-2026-98432, được nhóm CVE của kernel Linux đánh giá 9.8/10.
• Hệ thống bị ảnh hưởng: Kernel Linux từ phiên bản 4.4 trở đi; cụ thể ảnh hưởng đến RHEL 8, 9, 10 và Ubuntu 22.04, 24.04, 26.04 LTS.
• Vector tấn công: Kẻ tấn công từ xa, không cần xác thực, gửi các gói tin TCP IPv4 kèm tùy chọn Record Route hoặc Timestamp.
• Bản sửa lỗi của Red Hat: Có sẵn qua RHSA-2026:93414, RHSA-2026:93412 và RHSA-2026:93413; yêu cầu khởi động lại.
• Trạng thái của Ubuntu: Các bản sửa lỗi nằm trong kênh -proposed; các phiên bản LTS cũ hơn (20.04, 18.04, 16.04) chưa có bản sửa lỗi nếu không sử dụng Ubuntu Pro.
• Trạng thái khai thác: Chưa có báo cáo về các cuộc tấn công thực tế trong tự nhiên, nhưng mô hình AI nội bộ của Anthropic đã tạo ra một exploit root hoạt động được trong các bài kiểm tra proof-of-concept.

Tại sao điều này quan trọng

Đối với các kỹ sư phần mềm và lãnh đạo IT, lỗ hổng này đại diện cho một rủi ro nghiêm trọng cao vì nó không đòi hỏi tương tác từ người dùng hay thông tin đăng nhập. Bất kỳ máy chủ Linux nào chạy kernel chưa được vá và tiếp xúc với công chúng đều có nguy cơ bị xâm phạm toàn bộ hệ thống. Việc một mô hình AI có thể tạo ra một exploit hoạt động được nhấn mạnh tốc độ tăng nhanh mà các lỗ hổng lý thuyết có thể trở thành mối đe dọa thực tế. Mặc dù Anthropic không công bố mã nguồn, sự tồn tại của một công cụ như vậy cho thấy những kẻ tấn công có động cơ có thể phát triển các khả năng tương tự một cách nhanh chóng.

Sự chênh lệch về tính sẵn sàng của bản vá giữa Red Hat và Ubuntu cũng tạo ra những thách thức vận hành. Người dùng Red Hat có thể áp dụng các bản sửa lỗi ngay lập tức, trong khi người dùng Ubuntu phải quyết định xem có nên bật kênh -proposed hay không, kênh này mang lại rủi ro mất ổn định cao hơn do ít được kiểm thử kỹ lưỡng hơn. Các đội ngũ quản lý môi trường hỗn hợp phải phối hợp việc khởi động lại và xác minh phiên bản kernel một cách cẩn thận. Biện pháp giảm thiểu tạm thời bằng nftables không hoàn hảo và có thể làm gián đoạn chẩn đoán mạng hoặc các hành vi ứng dụng cụ thể phụ thuộc vào tùy chọn IP, buộc phải đánh đổi giữa bảo mật và chức năng cho đến khi các bản vá chính thức được triển khai rộng rãi.

Bạn có thể làm gì

• Kiểm tra phiên bản kernel hiện tại bằng lệnh uname -r và so sánh với các phiên bản đã được sửa lỗi được liệt kê trong các khuyến nghị của nhà cung cấp.
• Đối với hệ thống RHEL, hãy áp dụng các bản errata mới nhất (RHSA-2026:93414, 93412 hoặc 93413) và lên lịch khởi động lại.
• Đối với hệ thống Ubuntu LTS, cân nhắc việc bật pocket -proposed nếu cần bảo vệ ngay lập tức, tuân theo các lệnh cụ thể của Canonical.
• Triển khai quy tắc nftables của Red Hat như một biện pháp tạm thời nếu bạn không thể vá ngay lập tức, nhưng hãy giám sát tình trạng mất kết nối.
• Xác minh rằng các quy tắc tường lửa của bạn không vô tình cho phép các gói tin TCP IPv4 có tùy chọn IP bất thường từ các nguồn không đáng tin cậy.
• Lên kế hoạch cho các lần khởi động lại bắt buộc trên toàn bộ hạ tầng của bạn, vì các bản cập nhật kernel cho lỗ hổng này không thể áp dụng trực tiếp (live patching) mà không cần khởi động lại.