تؤثر ثغرة في شيفرة TCP بنواة لينكس، تحمل الرقم CVE-2026-98432، في أوبونتو وريد هات إنتربرايز لينكس (RHEL) وتوزيعات أخرى، ويمنحها فريق CVE التابع للنواة نفسها درجة 9.8 من 10 وفق مقياس CVSS. وقالت أنثروبيك في 27 أكتوبر إن نموذجها للذكاء الاصطناعي كتب استغلالا يستفيد من الثغرة ليتيح لمهاجم بعيد دون بيانات اعتماد تنفيذ أوامر بصلاحيات الجذر على خوادم لينكس التي تشغّل مستمعا لبروتوكول MPTCP. وحتى 29 أكتوبر لم تصدر أوبونتو ولا RHEL نواة مصححة، بينما تمنح ريد هات وأمازون وأوراكل وسوزي الثغرة درجات تتراوح بين 5.9 و8.1، أي أقل من تقدير فريق النواة.
والثغرة حالة تسابق في الشيفرة التي تهيئ اتصالات TCP الجديدة عبر IPv4، وقد تجعل النواة تقرأ ذاكرة سبق تحريرها، وهو نوع من الأخطاء يعرف باسم الاستخدام بعد التحرير. وتنسب الإصلاحات في النواة اكتشاف الخلل إلى باحث أنثروبيك شينيانغ غي. ولا يذكر سجل CVE ولا الإصلاح بروتوكول TCP متعدد المسارات (MPTCP)، فالربط بين هذه الميزة والثغرة مصدره منشور أنثروبيك. ويتيح MPTCP لاتصال واحد استخدام عدة مسارات شبكية في آن واحد، ويجب على التطبيق في لينكس أن يطلبه صراحة عند فتح المقبس.
وتقول أنثروبيك في منشورها إن الثغرة عولجت في النواة الأم ونُقل الإصلاح إلى كل فروع النواة المستقرة المدعومة. لكن مستخدمي التوزيعات لا يصلهم الإصلاح إلا عبر حزمة النواة التي يصدرها المورّد. وقد أصدرت ديبيان وأوراكل لينكس وسوزي وأمازون لينكس حزما مصححة، على الأقل لبعض نواها، أما أوبونتو وRHEL فلم تفعلا بعد.
حالة الإصلاح في التوزيعات الرئيسية
في أوبونتو، تحمل الإصدارات 22.04 و24.04 و26.04 و26.10 أولوية عالية والعمل جار على الإصلاح دون إصدار حزمة بعد، أما الإصدارات 16.04 و18.04 و20.04 فتبقى عرضة للثغرة ولم يصدر لها إصلاح. وتدرج أوبونتو كذلك نوى السحابة وFIPS والزمن الحقيقي ضمن النوى المتأثرة أو قيد العمل. وفي RHEL 8 و9 و10 وOpenShift 4، تقدّر صفحة CVE الخطورة بمتوسطة وبدرجة 5.9، بينما يقدّرها ملف النشرة الآلي بأهمية عالية ودرجة 8.1، وتقول ريد هات إن الإصلاح مؤجل إلى تحديث لاحق، أما RHEL 7 فغير متأثر.
وفي أمازون لينكس 2023، صدر الإصلاح لحزمة kernel6.18 في 24 أكتوبر بالإصدار kernel6.18-6.18.56-125.164.amzn2023، ولحزمة kernel6.12 في 29 أكتوبر بالإصدار kernel6.12-6.12.113-138.209.amzn2023 بحسب نشرة أمازون، علما أن صفحة CVE لديها ما زالت تذكر أن الإصلاح معلق. أما حزمة kernel الأساسية فما زال إصلاحها معلقا. وفي أوراكل لينكس 7 و8 و9 و10 بنواة UEK، صدر الإصلاح في 16 أكتوبر. وفي ديبيان، صدر الإصلاح لفرع trixie في 16 أكتوبر بالإصدار linux 6.12.113-1، ولفرع bookworm في 17 و22 أكتوبر. وفي سوزي، صدر الإصلاح لـSUSE Linux Micro 6.2 وopenSUSE Leap 16.0 بحزمة kernel-default 6.12.0-160000.40.1 أو أحدث، بينما ما زالت إصدارات SLES 15 SP4 إلى SP6 وSLES 16.0 وSLE Micro 5.3 إلى 5.5 قيد الاختبار، وSLES 15 SP7 قيد الإصلاح.
كيف تعمل الثغرة؟
يحدث التسابق أثناء المصافحة الثلاثية في TCP. فعند اكتمال الاتصال، تسلم النواة خيارات IP المخزنة مع الطلب المعلق إلى المقبس الجديد دون نسخها. وإذا دُمّر هذا المقبس بينما ما زال معالج آخر يستخدم هذه الخيارات للرد على طلب اتصال مُعاد إرساله، تقرأ النواة ذاكرة محررة. ولا تتأثر IPv6 بهذا التسابق لأن النواة تنسخ الخيارات في اتصالاتها. وقد أُدخل الخلل في لينكس 4.4، وطبق مطورو النواة الإصلاح في 5 أكتوبر، قبل عشرة أيام من نشر CVE. ويجعل الإصلاح النواة تنتظر انتهاء المعالجات الأخرى من قراءة الخيارات قبل تحريرها.
لماذا تتباين الدرجات؟
أضاف فريق CVE في النواة درجة 9.8 إلى السجل في 24 أكتوبر، بعد تسعة أيام من نشره. وتفترض الدرجة مهاجما يرسل طلب اتصال TCP يحمل خيارات IPv4 من نوع Record Route أو Timestamp، ثم يعيد إرسال الطلب لمحاولة كسب التسابق، وقد صنف الفريق تعقيد الهجوم منخفضا لأن طرفي التسابق “يحدثهما المهاجم”. وبحسب الفريق، قد تعيد الثغرة ذاكرة نواة مجاورة إلى المهاجم أو تفسد ذاكرة النواة أو تعطل النظام. وحتى 28 أكتوبر لم تضف قاعدة البيانات الوطنية للثغرات (NVD) درجتها الخاصة وأظهرت درجة فريق النواة 9.8، وتعرضها كذلك صفحة أوبونتو.
وتقدّر صفحة CVE لدى ريد هات الثغرة بأنها متوسطة بدرجة 5.9 لصعوبة كسب التسابق، وتقول إن النتيجة الأرجح هي تعطل النواة مع إمكان نظري لإفساد الذاكرة، وإنه “لم يثبت أي أثر على السرية أو السلامة”. لكن ملف النشرة الآلي لديها، المحدث في 29 أكتوبر، يصنف الأثر مهما ويمنح الثغرة 8.1 مع أثر عال على السرية والسلامة، وغيّر متتبع الأخطاء لديها خطورة المشكلة من متوسطة إلى عالية في اليوم نفسه. وتمنح أوراكل وسوزي 8.1 بالمتجه ذاته، وهي تطابق درجة فريق النواة في كل المقاييس عدا تعقيد الهجوم، الذي يعدّه المورّدون عاليا ويعدّه فريق النواة منخفضا. أما أمازون فتمنحها 7.0.
ما الذي تقول أنثروبيك إنها بنته؟
وصفت أنثروبيك استغلال لينكس في منشور 27 أكتوبر عن ثغرات اكتشفها نموذجها Claude واستغلها، وقالت إن النموذج كتب الاستغلال بعد “توجيه أولي”. ويعمل الاستغلال على مرحلتين. في الأولى يجعل التسابق النواة ترسل بايتات إضافية إلى المهاجم، وحين يحتوي أحد الردود عنوانا من النواة يستطيع المهاجم تجاوز KASLR، آلية عشوائية عناوين الذاكرة في النواة. وفي الثانية تُسبب الثغرة نفسها فيضا في المخزن المؤقت يكتب فوق مؤشر استدعاء عنوان حمولة وضعها المهاجم مسبقا في ذاكرة النواة، وحين تستدعي النواة المؤشر تنفذ الحمولة أمر صدفة يختاره المهاجم بصلاحيات الجذر. وتقول الشركة إن خسارة التسابق تفشل محاولة الاتصال وحدها ولا تعطل النظام، فيمكن للمهاجم المحاولة مرارا. وفي اختبارها استغرق تسريب عنوان من النواة 48 دقيقة، ثم 5 دقائق أخرى للوصول إلى تنفيذ الأمر. ولا يتضمن المنشور شيفرة الاستغلال ولا إصدار النواة ولا الإعدادات التي اختُبرت.
وتقول ريد هات إن مهاجما بعيدا يستطيع الوصول إلى خدمة TCP مكشوفة يمكنه إثارة التسابق، لكن استغلال أنثروبيك للجذر استهدف خوادم تشغّل مستمعا لـMPTCP، ولا يوضح المنشور ما إذا كان بالإمكان السيطرة بالطريقة نفسها على خوادم لا تشغّله. وحتى 29 أكتوبر لا تشير نشرات المورّدين ولا سجل CVE ولا منشور أنثروبيك إلى هجمات فعلية تستخدم الثغرة، ولا تظهر في نسخة كتالوج الثغرات المستغلة المعروفة لدى CISA التي حدّثها مركز CIRCL في لوكسمبورغ في 28 أكتوبر.
ما الذي ينبغي فعله الآن؟
حيثما أصدرت التوزيعة نواة مصححة ينبغي تثبيتها، وتبين الحزم والنشرات أعلاه ما صدر لديبيان وأوراكل لينكس وسوزي وأمازون لينكس. ومن يبني نواته بنفسه يجد الإصلاح في الإصدارات 5.10.272 و5.15.223 و6.1.190 و6.6.159 و6.12.113 و6.18.56 و7.2.10 و7.3، ويوصي فريق CVE في النواة بالتحديث إلى أحدث نواة مستقرة، قائلا إن مجتمع النواة لا يدعم انتقاء إصلاحات فردية. أما أوبونتو وRHEL وبعض إصدارات أمازون لينكس وسوزي فلا تتوافر لها نواة مصححة بعد. وتقول ريد هات إنه لا يوجد حل مؤقت يستوفي معاييرها من حيث سهولة النشر وملاءمته لمعظم التثبيتات وثباته، ولا تذكر نشرات المورّدين الأخرى أي حل. ولا توضح النشرات ومنشور أنثروبيك ما إذا كان تعطيل MPTCP أو حجب طلبات الاتصال الواردة التي تحمل خيارات IP يقلل الخطر.
