Группа Астра попросила администраторов Astra Linux временно отключить Multipath TCP и миграцию входящих TCP-соединений из-за опасной уязвимости CVE-2026-98432 в ядре Linux. Готового патча для Astra Linux пока нет, поэтому компания выпустила экстренные рекомендации для актуальных веток системы и специальных сборок.
CVE-2026-98432 позволяет атаковать сервер через сеть без учётной записи и каких-либо действий со стороны пользователя. Исследователи уже показали атаку на Linux-сервер с включённым MPTCP: специально подготовленные пакеты в итоге позволили выполнить произвольную команду с правами суперпользователя root. В лабораторном тесте на подбор нужного состояния ушло около 53 минут, причём неудачные попытки не обрушали сервер и могли повторяться снова.
Проблема возникает в сетевом коде IPv4/TCP ядра Linux. При определённом порядке событий один процессор освобождает участок памяти с параметрами соединения, пока другой процессор всё ещё пытается прочитать те же данные. Возникает ошибка использования памяти после освобождения, или UAF. Атакующий может специально создавать нужную последовательность сетевых запросов и пытаться поймать короткий момент, когда ядро оказывается в уязвимом состоянии.
MPTCP делает известный сценарий особенно опасным. Протокол позволяет одному TCP-соединению работать сразу через несколько сетевых путей, например через разные интерфейсы, и переключаться между ними без разрыва сеанса. Исследователи использовали слушающий MPTCP-сокет, чтобы превратить ошибку памяти в удалённое выполнение команд.
При этом CVE-2026-98432 не ограничивается самим MPTCP. Уязвимый код находится в обычной реализации IPv4/TCP и может срабатывать при обработке повторных запросов на установку соединения. Ещё один проблемный путь открывает миграция TCP-сокетов. Поэтому отключение MPTCP убирает продемонстрированный способ взлома, но не исправляет ошибку в ядре. Полностью закрыть CVE сможет только обновление ядра.
До появления патча Группа Астра рекомендует выставить параметры net.mptcp.enabled=0 и net.ipv4.tcp_migrate_req=0. Первый отключает MPTCP на уровне системы, второй запрещает миграцию запросов TCP между сокетами. Администраторам придётся учитывать побочный эффект: приложения, которые используют несколько сетевых путей для отказоустойчивости или переключения между интерфейсами, потеряют эту возможность.
Отдельно стоит проверить серверы с приложениями на Go. Начиная с Go 1.24 стандартная сетевая библиотека включает MPTCP по умолчанию для слушающих сокетов в Linux, если операционная система поддерживает протокол. Поэтому администратор мог вообще не настраивать MPTCP вручную, хотя серверное приложение уже использует его.
Для программ на Go поддержку можно временно отключить через GODEBUG=multipathtcp=0. Разработчики также могут добавить godebug multipathtcp=0 в go.mod и пересобрать приложение. Однако настройка отдельной программы не даёт полной защиты всей машине: другой процесс или явно настроенный сокет всё ещё может оставить MPTCP доступным.
Для систем с повышенными требованиями к защите Astra Linux предлагает дополнительные ограничения, включая мандатный контроль целостности, замкнутую программную среду, модуль LKRG для защиты ядра, запрет создания /dev/mem и блокировку bash. Часть мер способна нарушить работу приложений и административных сценариев, поэтому применять их без проверки конфигурации сервера не стоит.
В основном ядре Linux ошибку уже исправили, а патч попал в поддерживаемые стабильные ветки. Производителям дистрибутивов приходится отдельно переносить исправление в собственные ядра, тестировать пакеты и выпускать обновления для пользователей. Группа Астра пока не назвала срок выхода исправленного ядра и обещает опубликовать патч после завершения подготовки.