ช่องโหว่เคอร์เนล Linux ที่ถูก Matt Corallo เปิดโปง; ปล่อยการบรรเทาผลกระทบของ LND

เมื่อวันที่ 30 ตุลาคม นักพัฒนา Bitcoin Core และ Lightning Matt Corallo ดึงความสนใจไปยังช่องโหว่ร้ายแรงในเคอร์เนล Linux โดยวิพากษ์การตอบสนองที่ช้าของ Ubuntu ต่อสิ่งที่เขาอธิบายว่าเป็น 'ช่องโหว่ Linux ที่ร้ายแรงที่สุดเท่าที่เคยมี' ช่องโหว่ดังกล่าว ซึ่งถูกกำหนดเป็น CVE-2026-98432, ส่งผลกระทบต่อตรรกะการจับมือ TCP IPv4 ของเคอร์เนลและมีคะแนน CVSS 9.8 ทีม Frontier Red Team ของ Anthropic แสดงให้เห็นในภายหลังว่าบั๊กนี้สามารถถูกใช้สำหรับการเจาะระบบรูทระยะไกลบนระบบที่เปิดเผยลิสเทนเนอร์ Multipath TCP (MPTCP)

ในวันเดียวกัน Peter Todd ย้ำคำเตือน โดยเรียกร้องใครก็ตามที่ใช้งาน LND บน Linux โดยมีพอร์ตที่เปิดเผยให้หยุดการทำงานของโหนด Bitcoin Lightning ของพวกเขาชั่วคราว จนกว่าจะใช้แพตช์เคอร์เนลหรือวิธีการบรรเทาทางเลือก เวกเตอร์การโจมตีที่แสดงต่อสาธารณะนั้นขึ้นอยู่กับลิสเทนเนอร์ MPTCP ซึ่ง Go 1.24 และเวอร์ชันที่ใหม่กว่าเปิดใช้งานตามค่าเริ่มต้น เนื่องจาก LND สร้างด้วย Go เวอร์ชันล่าสุดจึงฟังบนพอร์ต peer, gRPC และ REST ของพวกเขาผ่าน MPTCP เมื่อใดก็ตามที่เคอร์เนลรองรับฟีเจอร์นี้

Lightning Labs ดำเนินการอย่างรวดเร็วในวันเดียวกัน โดยปล่อยเวอร์ชันฉุกเฉิน: lnd v0.21.6-beta และการแบ็กพอร์ต v0.20.7-beta ทั้งสองเวอร์ชันปิดการใช้งานลิสเทนเนอร์ MPTCP โดยค่าเริ่มต้น ซึ่งปิดเส้นทางการโจมตีที่ถูกแสดงให้เห็นสำหรับ LND ทีมงานอธิบายว่าการอัปเดตนี้เป็นการบรรเทามากกว่าการแก้ไขที่สมบูรณ์ โดยเน้นว่ามีเพียงเคอร์เนลที่ถูกแพตช์เท่านั้นที่จัดการต้นตอของปัญหาได้อย่างแท้จริง บริการอื่นๆ บนโฮสต์เดียวกันยังคงมีความเสี่ยงจนกว่า MPTCP จะถูกปิดทั้งระบบหรือเคอร์เนลถูกแพตช์ Olaoluwa Osuntokun และบัญชีทางการของ Lightning Labs แนะนำให้ผู้ใช้ทำการอัปเดต

นักวิจัยความมั่นคง Marcus Hutchins รายงานในเวลาต่อมามีการสแกนอย่างแพร่หลายทั่วอินเทอร์เน็ต ซึ่งสอดคล้องกับผู้คุกคามที่ค้นหาระบบที่เสี่ยงภัย การสแกนของเขาระบุว่ามีเซิร์ฟเวอร์ประมาณ 2.1 ล้านเครื่องที่สามารถเข้าถึงผ่าน MPTCP บนพอร์ต 443 เมื่อวันที่ 4 พฤศจิกายน International Cyber Digest ชี้ให้เห็นการค้นพบนี้ โดยระบุทั้งกิจกรรมสแกนและการเผยแพร่แพตช์ที่ค่อนข้างช้าจาก Ubuntu

Canonical ได้จัดหาเคอร์เนลที่ถูกแพตช์ในพ็ケット "proposed" ที่ต้องเลือกเข้าร่วมสำหรับ Ubuntu 22.04, 24.04 และ 26.04 แต่ยังไม่ถูกผลักไปยังช่องอัปเดตปกติ Red Hat ส่งมอบการแก้ไขสำหรับ RHEL 8/9/10 ในวันที่ 1 พฤศจิกายน ในขณะที่ Debian, Amazon Linux และดิสทริบิวชันอื่นๆ ได้ปล่อยแพตช์ก่อนหน้านั้นแล้ว

เมื่อวันที่ 1 พฤศจิกายน UmbrelOS 2.0.1 ได้รวมการแก้ไขเคอร์เนลสำหรับอุปกรณ์ x86 และใช้วิธีการแก้ไขชั่วคราวที่บล็อกทราฟฟิกบน Raspberry Pi ซึ่งยังไม่มีเคอร์เนลที่ถูกแพตช์เตรียมพร้อม ไม่มีการบันทึกการโจมตีที่ได้รับการยืนยันในโลกจริง และช่องโหว่นี้ไม่ปรากฏในแค็ตตาล็อกของ CISA Known Exploited Vulnerabilities พิสูจน์แนวคิดการเจาะระบบรูทระยะไกลของ Anthropic ยังไม่ถูกปล่อยออกมา

ความเสี่ยงในทางปฏิบัติที่ใหญ่ที่สุดอยู่กับเซิร์ฟเวอร์ที่เชื่อมต่ออินเทอร์เน็ต เครื่องเดสก์ท็อปที่บ้านที่อยู่หลัง NAT และไฟร์วอลล์มาตรฐาน ซึ่งไม่มีลิสเทนเนอร์ TCP สาธารณะ มีความเสี่ยงน้อยกว่ามาก สำหรับผู้ดำเนินการโหนด Lightning บน Linux การอัปเดต LND ขจัดเส้นทางลิสเทนเนอร์ MPTCP เฉพาะที่ถูกใช้ในการสาธิตสาธารณะ แต่ช่องโหว่เคอร์เนลที่ซ่อนอยู่ยังคงมีอยู่จนกว่าจะติดตั้งเคอร์เนลที่ถูกแพตช์