Исправление нужно искать в обновлениях ядра своего дистрибутива. Отсутствие MPTCP само по себе не доказывает, что сервер защищён.
Что показали исследователи
В исследовании от 27 октября Anthropic рассказала, как её экспериментальная модель ИИ создала эксплойт для Linux-сервера с MPTCP. Во время проверки удалось выполнить код с правами root без учётной записи на сервере. Исправление уже включили в основную ветку ядра и перенесли во все сопровождаемые стабильные ветки.
Эксперимент подтверждает возможность удалённого выполнения кода, но не означает, что тем же способом можно взломать любой Linux-сервер с открытым портом. Успех атаки зависит от сборки ядра, сетевых настроек и других условий на конкретной машине.
Почему отключения MPTCP недостаточно
По описанию Red Hat, ошибка возникает при одновременной обработке повторно отправленных запросов на TCP-соединение или при миграции сокетов. Память с параметрами сокета освобождается раньше, чем код заканчивает с ней работать. Это use-after-free — обращение к уже освобождённой памяти. Оно может вызвать повреждение памяти ядра или падение системы. Чтобы добиться выполнения произвольного кода, атакующему нужен точный контроль над размещением объектов в памяти.
На момент подготовки материала Red Hat оценивает уязвимость как критическую — 9,8 балла по шкале CVSS. По данным компании, ошибка затрагивает и обработку обычных TCP-соединений по IPv4, поэтому отключение MPTCP не гарантирует защиту. Администраторам стоит проверить, выпустил ли поставщик дистрибутива исправление для установленной версии ядра.
Неочевидная деталь для сервисов на Go
В Go 1.24 изменили значение по умолчанию для параметра multipathtcp в GODEBUG: теперь это 2. При такой настройке MPTCP включается для сокетов, принимающих входящие соединения, если ядро поддерживает протокол. При проверке конкретного приложения нужно учитывать его собственные настройки и режим совместимости с прежними версиями Go.
Поэтому MPTCP может использоваться и там, где администратор не включал его вручную. Проверять стоит работающие сервисы, а не только версию компилятора, которой их собрали. В первую очередь внимания требуют серверы, доступные из интернета и других недоверенных сетей. После обновления убедитесь, что на сервере действительно работает исправленное ядро.
Редакция EALP · Обновлено