AmneziaVPN предупредила об уязвимости ядра Linux, которая угрожает серверам на Xray
В ядре Linux нашли критическую уязвимость CVE-2026-98432 с оценкой 9,8 из 10. Через неё можно удалённо получить полный контроль над сервером без пароля.
Ошибка находится в ядре, поэтому VPN-серверам на Xray нужно обновить и Xray, и ядро.
Что делать?: Обновить Xray-core до v26.10.31 или новее. Эта версия по умолчанию отключает MPTCP, из-за которого серверы оказались под ударом. Это указано в заметках к релизу.1
Обновить ядро и перезагрузить сервер. В Debian исправление есть в версиях 6.1.190-1 (Debian 12) и 6.12.113-1 (Debian 13). Версии указаны в трекере Debian.2
Если исправленного ядра для вашей системы нет, как у Ubuntu и RHEL на 1 ноября, добавить временное правило Red Hat. Статус дистрибутивов приводит Ostorlab.3
Правило отбрасывает входящие IPv4 TCP-пакеты с IP-опциями, то есть со служебными данными, через которые срабатывает ошибка. Оно снижает риск, но не закрывает уязвимость, и может помешать нужным сервисам. Сначала проверьте его на тестовом сервере, а после обновления ядра удалите. Правило и предупреждения есть в бюллетене Red Hat.4
table inet cve_2026_98432 { chain input { type filter hook input priority -310; policy accept; ip protocol tcp ip hdrlength > 5 counter drop } }
Что за ошибка: Ядро главная часть операционной системы, и именно оно принимает сетевые соединения. При установке TCP-соединения оно передаёт новому соединению IP-опции, но не копирует их. Один процессор освобождает эту память, а другой ещё читает её. Такая ошибка называется use-after-free, то есть использование памяти после освобождения. Её можно превратить в запуск чужих команд с правами root, то есть администратора системы. Описание есть в трекере Debian.2 Уязвимы ядра начиная с версии 4.4. Об этом пишет BleepingComputer.5
27 октября, Anthropic: Не выпущенная модель Claude написала эксплойт, то есть программу, использующую уязвимость. В тесте на сервере с MPTCP на получение root ушло около 53 минут. Подробности приводит ShiftDelete.6 Подтверждённых атак в реальности нет. Об этом пишет BleepingComputer.5
Почему Xray: Язык Go с версии 1.24 по умолчанию включает MPTCP, расширение TCP для передачи данных по нескольким путям сразу, поэтому Xray принимает именно такие соединения. Это указано в заметках к релизу Xray-core.1 Ошибка есть и без MPTCP, но рабочий эксплойт показан только для серверов с ним. Об этом пишет BleepingComputer.5
AmneziaVPN: 1 ноября сервис сообщил, что защитил инфраструктуру для пользователей Free и Premium. Обновление для self-hosted серверов, которые пользователь ставит сам, готовится. Это сказано в посте AmneziaVPN.7
Обновление Xray уменьшает риск, но не заменяет обновление ядра.
Источники
Интересно обсудить?
Volven Skadadottir
Редактор verärgert
