Linux Kernel Ağ Yığınında Kritik Açık: CVE-2026-98432 ve Ubuntu Güvenlik Güncellemesi
Linux çekirdeğinin IPv4 ağ yığınında tespit edilen ve CVSS v3 skoru 9.8 (Kritik) olarak belirlenen CVE-2026-98432 zafiyeti, Canonical tarafından paylaşılan bültenle birlikte sistem yöneticilerinin radarına girdi. Ubuntu tarafında yüksek öncelikli (High Priority) olarak sınıflandırılan bu açık, doğrudan TCP soket yönetimi ve bellek serbest bırakma mekanizmalarındaki yarış durumuyla (race condition) ilgili.
Zafiyetin Teknik Arka Planı
Sorunun merkezinde, TCP bağlantı el sıkışması sırasında child socket üretimi yer alıyor. tcp_v4_syn_recv_sock() fonksiyonu, ireq->ireq_opt sahipliğini kopyalama yapmadan doğrudan child socket nesnesine aktarıyor. Bu esnada başka bir CPU çekirdeği aynı istek soketi için yeniden iletilen bir SYN paketini eş zamanlı işleyip tcp_check_req() üzerinden SYNACK göndermeye çalışabiliyor.
Çekirdekte dinleyici kilidi (listener lock) tutulmadan yapılan bu işlem sırasında, child socket SOCK_RCU_FREE bayrağına sahip olmadığı için inet_sock_destruct() fonksiyonu inet_opt yapısını düz kfree() çağrısıyla bellekten temizliyor. Okuyucu taraflar RCU koruması altında olsa bile, nesnenin erkenden serbest bırakılması ip_options_build() fonksiyonunda Use-After-Free (UAF) durumuna yol açıyor.
Benzer bir durum, net.ipv4.tcp_migrate_req=1 veya BPF tabanlı soket migrasyonu etkinleştirildiğinde de tetiklenebiliyor. Çözüm olarak çekirdek geliştiricileri, düz kfree() yerine kfree_rcu() kullanımını devreye alarak RCU lütuf süresi (grace period) tamamlanana kadar bellek bloklarının serbest bırakılmamasını sağlıyor. IPv6 tarafı ise seçenekleri doğrudan çoğalttığı için bu özel senaryodan etkilenmiyor.
Etkilenen Sürümler ve Güncelleme Durumu
Canonical, Ubuntu 22.04 LTS (Jammy), Ubuntu 24.04 LTS (Noble) ve ara sürümler için çekirdek paketlerinde düzeltme çalışmalarını sürdürüyor. AWS gibi bulut ortamlarına özel optimize edilmiş linux-aws çekirdekleri de dahil olmak üzere çoğu dağıtım paketi için güncellemeler hazırlık aşamasında.
Sistem yöneticilerinin, paket havuzlarına düşen güncel kernel versiyonlarını takip ederek güvenlik yamalarını gecikmeden uygulamaları ve sistemlerini yeniden başlatmaları gerekiyor.
