Lỗ hổng nhân Linux được Matt Corallo nêu ra; Bản giảm thiểu LND được phát hành

Ngày 30 tháng 10, nhà phát triển Bitcoin Core và Lightning Matt Corallo đã thu hút sự chú ý tới một lỗ hổng nghiêm trọng trong nhân Linux, chỉ trích phản ứng chậm chạp của Ubuntu với thứ mà anh gọi là "lỗ hổng Linux nghiêm trọng nhất từ trước đến nay." Lỗ hổng, được ký hiệu CVE-2026-98432, ảnh hưởng tới logic bắt tay TCP IPv4 của nhân và mang điểm CVSS là 9.8. Đội Frontier Red của Anthropic sau đó đã chứng minh rằng lỗi này có thể bị lợi dụng để khai thác root từ xa trên các hệ thống có bộ lắng nghe Multipath TCP (MPTCP).

Cùng ngày, Peter Todd nhấn mạnh lại cảnh báo, kêu gọi bất kỳ ai vận hành LND trên Linux với các cổng được mở hãy đưa các nút Bitcoin Lightning của họ ngoại tuyến cho đến khi áp dụng bản vá nhân hoặc biện pháp giảm thiểu thay thế. Véc-tơ tấn công được trình diễn công khai phụ thuộc vào bộ lắng nghe MPTCP, được Go 1.24 và các phiên bản mới hơn bật theo mặc định. Vì LND được xây dựng bằng Go, các bản phát hành gần đây đã lắng nghe trên các cổng peer, gRPC và REST qua MPTCP bất cứ khi nào nhân hỗ trợ tính năng này.

Lightning Labs đã hành động nhanh chóng cùng ngày, tung ra các phiên bản khẩn cấp: lnd v0.21.6-beta và bản backport v0.20.7-beta. Cả hai bản phát hành đều vô hiệu hóa bộ lắng nghe MPTCP theo mặc định, qua đó đóng con đường khai thác đã được chứng minh cho LND. Nhóm của Lightning Labs mô tả bản cập nhật như một biện pháp giảm thiểu hơn là một bản sửa lỗi triệt để, nhấn mạnh rằng chỉ có một nhân đã vá mới thực sự giải quyết nguyên nhân gốc. Các dịch vụ khác trên cùng một máy vẫn gặp rủi ro cho đến khi MPTCP bị tắt trên toàn hệ thống hoặc nhân được vá. Olaoluwa Osuntokun và tài khoản Lightning Labs chính thức đều khuyên người dùng áp dụng bản cập nhật.

Nhà nghiên cứu bảo mật Marcus Hutchins sau đó báo cáo về việc quét diện rộng trên khắp internet, phù hợp với các tác nhân đe dọa đang tìm kiếm các hệ thống dễ bị tổn thương. Các lần quét của anh xác định được khoảng 2.1 triệu máy chủ có thể truy cập qua MPTCP trên cổng 443. Ngày 4 tháng 11, International Cyber Digest nêu bật phát hiện này, chỉ ra cả hoạt động quét lẫn việc triển khai bản vá tương đối chậm hơn từ Ubuntu.

Canonical từ đó đã cung cấp các nhân đã vá trong khu vực "proposed" tùy chọn cho Ubuntu 22.04, 24.04 và 26.04, nhưng những bản này vẫn chưa được đẩy sang kênh cập nhật thông thường. Red Hat đã cung cấp các bản sửa cho RHEL 8/9/10 vào ngày 1 tháng 11, trong khi Debian, Amazon Linux và các bản phân phối khác đã phát hành bản vá trước đó.

Ngày 1 tháng 11, UmbrelOS 2.0.1 đã tích hợp bản vá nhân cho các thiết bị x86 và triển khai giải pháp tạm thời chặn lưu lượng trên Raspberry Pi, thiết bị mà bản vá nhân chưa sẵn sàng. Chưa có vụ khai thác được xác minh ngoài thực tế nào được ghi nhận, và lỗ hổng này không xuất hiện trong danh mục Known Exploited Vulnerabilities của CISA. Bằng chứng khái niệm về quyền root từ xa của Anthropic chưa được công bố.

Rủi ro thực tế lớn nhất nằm ở các máy chủ hướng ra internet. Các máy tính để bàn gia đình nằm sau NAT và tường lửa tiêu chuẩn, không có bộ lắng nghe TCP công khai, ít bị tổn thương hơn nhiều. Đối với các nhà vận hành nút Lightning trên Linux, các bản cập nhật LND loại bỏ con đường bộ lắng nghe MPTCP cụ thể đã bị khai thác trong bản demo công khai, nhưng lỗ hổng nhân cơ bản vẫn tồn tại cho đến khi một nhân đã vá được cài đặt.