Una vulnerabilidad en el código TCP del kernel de Linux, registrada como CVE-2026-98432, impacta a Ubuntu, Red Hat Enterprise Linux (RHEL) y otras distribuciones. El equipo CVE del propio kernel la califica con 9.8 sobre 10 en la escala CVSS.
El 27 de octubre, Anthropic afirmó que su modelo de IA generó un exploit que aprovecha la falla para que un atacante remoto sin credenciales ejecute comandos como root en servidores Linux que tengan un listener de multipath TCP.
Al 29 de octubre, Ubuntu y RHEL no habían liberado un kernel corregido. Red Hat, Amazon, Oracle y SUSE puntúan la falla entre 5.9 y 8.1, por debajo del 9.8 del equipo del kernel.
Naturaleza del fallo
Se trata de una condición de carrera en el código que establece nuevas conexiones TCP IPv4. Puede provocar que el kernel lea memoria ya liberada, un tipo de error conocido como use-after-free.
La corrección del kernel acredita al investigador de Anthropic Xinyang Ge por reportar el error. Ni el registro CVE ni la corrección mencionan multipath TCP (MPTCP). La relación entre esa característica y el error proviene de la publicación de Anthropic.
MPTCP permite que una conexión utilice varias rutas de red simultáneamente. En Linux, una aplicación debe solicitar MPTCP al abrir un socket.
La publicación de Anthropic indica que la falla "fue parcheada en el upstream y retroportada a todas las ramas estables mantenidas del kernel". Para los usuarios de distribuciones, esa corrección llega solo en el paquete del kernel del proveedor. Debian, Oracle Linux, SUSE y Amazon Linux ya han publicado paquetes corregidos, al menos para algunos de sus kernels, pero Ubuntu y RHEL no.
Distribuciones con corrección disponible
Ubuntu también cataloga sus kernels cloud, FIPS y de tiempo real como vulnerables o en proceso de corrección. Red Hat señala que sus arreglos están "actualmente diferidos a una actualización futura". Ni Red Hat ni Ubuntu proporcionan una fecha de lanzamiento.
Cómo funciona el error
La carrera ocurre durante el handshake TCP. Cuando se completa una conexión, el kernel entrega las opciones IP almacenadas con la solicitud pendiente al nuevo socket sin copiarlas.
Si ese socket se destruye mientras otra CPU todavía usa las opciones para responder a una solicitud de conexión reenviada, el kernel lee memoria liberada.
IPv6 no se ve afectado por esta carrera porque el kernel copia las opciones para las conexiones IPv6.
El error se introdujo en Linux 4.4. Los desarrolladores del kernel aplicaron una corrección el 5 de octubre, diez días antes de que se publicara el CVE.
La corrección hace que el kernel espere hasta que otras CPU terminen de leer las opciones antes de liberarlas.
Por qué difieren los puntajes
El equipo CVE del kernel agregó el puntaje 9.8 al registro CVE el 24 de octubre, nueve días después de publicar el CVE.
Su puntaje supone un atacante que envía una solicitud de conexión TCP con opciones IPv4 Record Route o Timestamp, y luego reenvía la solicitud para intentar ganar la carrera. El equipo calificó la complejidad del ataque como baja, afirmando que ambos lados de la carrera son "inducidos por el atacante".
En ese caso, según el equipo, el error podría enviar memoria cercana del kernel al atacante, corromper memoria del kernel o provocar un bloqueo del sistema.
Al 28 de octubre, la Base de Datos Nacional de Vulnerabilidades (NVD) no había añadido su propio puntaje y mostraba el 9.8 del equipo del kernel. La página de Ubuntu también muestra ese puntaje.
La página CVE de Red Hat califica la falla como Moderada, con 5.9, porque la carrera es difícil de ganar. Señala que el resultado más probable es un bloqueo del kernel, con posibilidad teórica de corrupción de memoria, y que "no se ha demostrado impacto en la confidencialidad o integridad".
El archivo de aviso legible por máquina de Red Hat, actualizado el 29 de octubre, lista el impacto como Importante y puntúa la falla con 8.1, con alto impacto en confidencialidad e integridad. El rastreador de errores de Red Hat cambió la severidad del problema de media a alta ese mismo día. En esa fecha, la página CVE mostraba Moderada y 5.9.
Oracle y SUSE también puntúan la falla con 8.1, con el mismo vector CVSS que el archivo de aviso de Red Hat. Esos puntajes coinciden con los del equipo del kernel en cada métrica excepto en complejidad de ataque, que los proveedores califican como alta y el equipo del kernel como baja. Amazon la puntúa con 7.0.
Lo que Anthropic dice haber construido
Anthropic describió el exploit de Linux en una publicación del 27 de octubre sobre fallas que su modelo de IA, Claude, encontró y explotó. The Hacker News cubrió la publicación el 28 de octubre. Claude escribió el exploit después de un "prompt inicial", según Anthropic.
El exploit funciona en dos etapas. Primero, la carrera hace que el kernel envíe bytes adicionales al atacante. Una vez que una de esas respuestas contiene una dirección del kernel, el atacante puede evadir KASLR, la aleatorización de direcciones de memoria del kernel.
Segundo, el mismo error desborda un búfer y sobrescribe un puntero de devolución de llamada con la dirección de un payload que el atacante ya había colocado en memoria del kernel. Cuando el kernel llama a ese puntero, el payload ejecuta un comando de shell a elección del atacante como root.
Una carrera perdida solo falla ese intento de conexión y no bloquea el sistema, por lo que un atacante puede seguir intentando, dijo la compañía. En su prueba, filtrar una dirección del kernel tomó 48 minutos, y alcanzar la ejecución de comandos tomó 5 minutos más.
La publicación no incluye el código del exploit, la versión del kernel ni la configuración que Anthropic probó.
Red Hat afirma que un atacante remoto que pueda alcanzar un servicio TCP expuesto podría desencadenar la carrera. Sin embargo, el exploit de root de Anthropic se dirigió a servidores con un listener de multipath TCP. La publicación no aclara si los servidores sin uno pueden ser comprometidos de la misma manera.
Al 29 de octubre, ninguno de los avisos de proveedores, el registro CVE o la publicación de Anthropic reportan ataques que aprovechen la falla. No aparece en una copia del catálogo de Vulnerabilidades Explotadas Conocidas de CISA que el CIRCL de Luxemburgo actualizó por última vez el 28 de octubre.
Qué hacer ahora
Donde su distribución haya publicado un kernel corregido, instálelo. La tabla anterior lista los paquetes y avisos para Debian, Oracle Linux, SUSE y Amazon Linux.
Si compila su propio kernel, la corrección está en Linux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 y 7.3. El equipo CVE del kernel recomienda actualizar al último kernel estable. Señala que la comunidad del kernel no admite la aplicación selectiva de correcciones individuales.
Ubuntu, RHEL y algunas versiones de Amazon Linux y SUSE aún no tienen un kernel corregido para instalar. Red Hat dice que ninguna mitigación disponible cumple con sus estándares de facilidad de despliegue, adecuación para la mayoría de las instalaciones y estabilidad. Ninguno de los otros avisos de proveedores enumera una.
Los avisos y la publicación de Anthropic no indican si desactivar multipath TCP o bloquear solicitudes de conexión entrantes que lleven opciones IP reduciría el riesgo.
Deja una respuesta