Red Hat noemde op 30 oktober RHEL 8, 9 en 10 en Red Hat OpenShift Container Platform als getroffen door CVE-2026-98432. Het bedrijf publiceerde ook een nftables-regel die de blootstelling aan deze Linux-kernelkwetsbaarheid kan verminderen. Die regel filtert inkomend IPv4-TCP-verkeer met IP-opties, maar voorkomt de kwetsbaarheid niet volledig en kan workloads verstoren. Op 1 november beoordeelde Red Hats CVE-pagina het probleem als Critical, met een score van CVSS 3.1 9.8.

Red Hats filterregel is geen vervanging voor een kernelpatch

CVE-2026-98432 is een use-after-free in de IPv4-TCP-verwerking van de Linux-kernel. Dat is een fout waarbij software geheugen gebruikt nadat het is vrijgegeven. Volgens Red Hat ontstaat de race wanneer de kernel gelijktijdig opnieuw verzonden TCP-verzoeken verwerkt of sockets migreert. Een aanvaller op afstand heeft volgens het bedrijf geen account of gebruikersinteractie nodig, maar moet de timing precies treffen. Mogelijke gevolgen zijn een crash, geheugencorruptie en code-uitvoering op afstand.

De nftables-regel uit Red Hats bulletin van 30 oktober laat binnenkomende IPv4-TCP-pakketten met IP-opties vallen. Red Hat zegt dat dit de blootstelling aan het kwetsbare codepad vermindert, maar de kwetsbaarheid niet volledig voorkomt. De filtering kan bovendien noodzakelijke workloads verstoren. Red Hat beschrijft de maatregel daarom niet als vervanging voor het installeren van een kernelpatch.

Amazon vermeldt zeven pakketfamilies als opgelost

De Amazon Linux Security Center-pagina, aangepast op 30 oktober, geeft de kwetsbaarheid de classificatie Important en een score van CVSS 3.1 8.1. Amazon vermeldt de volgende pakketfamilies als Fixed:

  • Amazon Linux 2: core en Extras voor kernels 5.4, 5.10 en 5.15.
  • Amazon Linux 2023: de standaardkernel en kernel6.12 en kernel6.18.

Deze status geldt voor de genoemde Amazon Linux-pakketten. De score en classificatie zijn die van Amazon Linux.

De MPTCP-demonstratie bepaalt niet de volledige reikwijdte

Anthropic meldde op 27 oktober dat Claude in een proof of concept opdrachten met rootrechten kon uitvoeren op een Linux-server met een MPTCP-luistersocket. Het bedrijf rapporteerde 48 minuten om een kernelpointer te achterhalen en nog vijf minuten om tot shellopdrachten te komen. Dat zijn de tijden die Anthropic voor deze demonstratie opgaf. In ons eerdere artikel over Anthropic en vijf exploitketens staat de bredere context van dat onderzoek.

De Go Security Team zegt dat de onderliggende kernelbug niet specifiek is voor MPTCP. Dat is Multipath TCP, de verbindingsvorm die Anthropic in zijn demonstratie gebruikte. De Go Security Team waarschuwt ook dat MPTCP per programma uitschakelen een kwetsbare tussenmaatregel is en adviseert een gepatchte kernel. Go 1.24 schakelt MPTCP standaard in voor luisterende sockets op Linux, volgens de beveiligingsrichtlijn van het Go Security Team.

Sophos en OpenVPN beschrijven hun eigen producten

Sophos bevestigde op 30 oktober dat Sophos Firewall getroffen is. MPTCP staat op die firewall niet ingeschakeld, wat volgens Sophos het risico kan verlagen. Het bedrijf zei toen dat zijn engineers upstream-kernelpatches beoordeelden voor een toekomstige SFOS-release, zo meldde een technisch teamleider van Sophos.

OpenVPN zegt dat standaardinstallaties van Access Server, waaronder de webinterface, OpenVPN-daemons en SSH, gewone single-path TCP-sockets gebruiken en geen MPTCP-luistersocket aanbieden. Het hostbesturingssysteem kan desondanks kwetsbaar zijn. OpenVPN adviseert daarom de vaste kernelversie van de betreffende distributie te installeren en de server opnieuw op te starten, volgens de ondersteuningsinformatie van OpenVPN.