Критическая уязвимость Linux затронула валидаторов Solana

Solana Foundation предупредила операторов узлов о критической уязвимости CVE-2026-98432 в ядре Linux. При определенных условиях она позволяет удаленно выполнять команды на сервере без авторизации. Уязвимость получила оценку 9,8 из 10 по шкале CVSS 3.1.

Ошибка обнаружена в сетевой подсистеме IPv4, которая обрабатывает TCP-соединения. Она связана с состоянием гонки: две одновременные операции могут привести к освобождению участка памяти, который продолжает использовать ядро.

Атакующий может отправлять на сервер специально рассчитанные сетевые запросы и вызывать повреждение памяти ядра. Обычно это приводит к аварийному завершению работы сервера. При определенных условиях ошибка позволяет выполнить произвольный код с правами суперпользователя.

CVE-2026-98432 присутствует в ядре Linux начиная с версии 4.4, выпущенной в 2016 году. Исправления подготовлены для поддерживаемых веток ядра, однако на 2 ноября они доступны не во всех дистрибутивах. Ubuntu относит версии 22.04, 24.04, 26.04 и 26.10 к уязвимым, подготовка обновлений для них продолжается. Для Amazon Linux 2 и Amazon Linux 2023 обновления уже выпущены. Данных об использовании уязвимости в реальных атаках нет.

Руководитель отдела по работе с валидаторами Solana Foundation Тим Гарсия рекомендовал операторам узлов на Ubuntu временно ограничить обработку определенных сетевых пакетов. До установки исправлений он также призвал отключить Multipath TCP и функцию миграции TCP-соединений. Multipath TCP позволяет использовать несколько сетевых маршрутов в рамках одного соединения и входит в конфигурации, на которых исследователи демонстрировали эксплуатацию ошибки.

Уязвимость не связана с кодом Solana и затрагивает операционную систему серверов, на которых работают валидаторы и другие сетевые приложения. Компрометация отдельного узла может нарушить его работу, но сама по себе не означает взлома блокчейна Solana.

27 октября специалисты Anthropic сообщили, что внутренняя исследовательская модель компании разработала способ эксплуатации CVE-2026-98432. В лабораторных условиях она провела двухэтапную атаку на Linux-сервер с активным слушателем Multipath TCP и получила права root без учетных данных и действий пользователя.

Сначала модель раскрыла сведения о расположении ядра в памяти и обошла защиту KASLR. Затем она использовала уязвимость для выполнения команд с правами root. Первый этап занял около 48 минут, второй — еще около пяти минут. Код эксплойта публично не раскрыт. Демонстрацию провели на сервере с определенной конфигурацией, поэтому применимость метода к любому Linux-серверу не подтверждена.

В конце октября криптокошелек Solflare сообщил об инциденте с ключами валидатора у стороннего стейкинг-провайдера. Узел перестал приносить вознаграждения пользователям, которые делегировали ему около 1,56 млн SOL стоимостью $160 млн. Активы не пострадали. Компания пообещала компенсировать пропущенные вознаграждения пользователям, которые перенесут стейк на другой валидатор.