Cardano-операторов призвали срочно патчить критическую уязвимость Linux
Организация Intersect призвала операторов стейк-пулов Cardano установить исправления и перезагрузить серверы из-за критической уязвимости ядра Linux.
Организация Intersect, объединяющая участников экосистемы Cardano, призвала операторов стейк-пулов обновить и перезагрузить блок-продюсеры и релейные серверы после появления исправлений для критической уязвимости ядра Linux. В обновлении от 30 октября Intersect рекомендовала проверить ядра на обоих типах серверов и установить исправленное ядро дистрибутива сразу после его публикации.
Главное
- Уязвимость CVE-2026-98432 имеет оценку CVSS 3.1 9,8 (критический уровень)
- Intersect призвала операторов Cardano установить исправления и перезагрузить блок-продюсеры и релеи
- Ubuntu, Red Hat и AlmaLinux опубликовали данные о затронутых версиях и статусе исправлений
- Proof of concept Anthropic использовал MPTCP для выполнения команд с правами root
- AlmaLinux и Red Hat предложили временные меры, не заменяющие установку патча
Уязвимость CVE-2026-98432 получила от kernel.org оценку 9,8 по шкале CVSS 3.1, что соответствует критическому уровню. Проблема затрагивает обработку ядром входящих TCP-соединений по IPv4 и может приводить к обращению к памяти после её освобождения. Согласно бюллетеню Red Hat, удалённый атакующий без учётных данных мог бы использовать состояние гонки для выполнения кода; в описании также указаны риски падения системы и повреждения памяти.
Для Cardano предупреждение касается как машин, производящих блоки, так и релеев, соединяющих их с сетью. Документация для операторов Cardano рекомендует подключать блок-продюсеры только к собственным или доверенным релеям, чтобы изолировать их от интернета. В рекомендации Intersect нет данных об эксплуатации уязвимости против Cardano и не указано, сколько пулов работают на уязвимых ядрах.
Трекер Ubuntu по состоянию на 30 октября перечисляет стандартные ядра для Ubuntu 22.04, 24.04, 26.04 и 26.10 как уязвимые, исправления находятся в работе. Бюллетень Red Hat от 30 октября относит к затронутым RHEL 8, 9 и 10 и сообщает об ускорении выпуска исправлений. AlmaLinux в тот же день заявила, что исправленные ядра для версий 8, 9 и 10 доступны в тестовых репозиториях до выхода в продакшен, и отметила, что исправленного ядра RHEL на тот момент не было. Ошибка восходит к Linux 4.4, а исправления вышестоящего проекта перенесены в поддерживаемые стабильные ветки.
Продемонстрированная атака использовала Multipath TCP (MPTCP). Исследователи Anthropic сообщили, что их proof of concept позволял отправлять пакеты на Linux-сервер с MPTCP-листенером и выполнять команды с правами root без учётных данных и взаимодействия с пользователем. Однако команда Go Security предупредила, что базовая ошибка не специфична для MPTCP, поэтому уязвимыми могут быть и системы без таких листенеров.
AlmaLinux советует отключать MPTCP там, где он не нужен, и перезапускать сервисы с существующими MPTCP-листенерами: изменение настройки само по себе лишь блокирует создание новых сокетов MPTCP. Red Hat предлагает смягчение через файрвол, фильтрующий входящие IPv4 TCP-пакеты с IP-опциями, и предупреждает, что правило нужно протестировать на рабочих нагрузках, а фильтрация снижает риск, но не предотвращает эксплуатацию полностью. Оба вендора подчёркивают, что временные меры не заменяют установку исправленного ядра; Intersect прямо указывает операторам перезагрузиться после обновления.
Что это значит
По данным cryptonews.net, предупреждение Intersect касается инфраструктуры стейк-пулов Cardano — блок-продюсеров и релеев, которые операторы должны обновить и перезагрузить. Пока исправления доступны не для всех дистрибутивов: AlmaLinux выпустила патчи в тестовые репозитории, а исправленного ядра RHEL на 30 октября не было. Временные меры — отключение MPTCP и фильтрация на файрволе — названы недостаточными без установки патча.
📢 Главные новости крипторынка — коротко и первыми в нашем Telegram-канале.
Читайте также
Источник: cryptonews.net