ثغرة حرجة في Linux Kernel تسمح بالتحكم عن بعد كمسؤول

ما الذي حدث بالضبط؟

اكتشف باحثو الأمن في شركة Anthropic ثغرة خطيرة في نواة Linux. هذه الثغرة، التي تحمل الرمز CVE-2026-98432، تسمح للمهاجمين بتنفيذ أوامر كمسؤول (root) عن بعد على الخوادم التي تشغل خاصية Multipath TCP أو MPTCP.

صنّف فريق CVE الخاص بنواة Linux هذه الثغرة بدرجة خطورة عالية جداً، وصلت إلى 9.8 من أصل 10. رغم أن الثغرة تؤثر أيضاً على اتصالات TCP العادية، إلا أن تنفيذ الأوامر عن بعد لم يظهر علناً على الخوادم التي لا تشغل MPTCP.

أظهر باحثو Anthropic كيف يمكن استغلال هذه الثغرة. باستخدام نموذج ذكاء اصطناعي غير منشور من Claude، تمكنوا من تطوير أداة اختراق تتجاوز حماية KASLR (kernel address space layout randomization). استغرق الأمر حوالي 53 دقيقة لتنفيذ أوامر كمسؤول عن بعد على خادم Linux يشغل MPTCP، مما يوضح إمكانية استغلال الثغرة لأكثر من مجرد هجمات حرمان الخدمة. لم يتم تأكيد أي تقارير عن استغلال هذه الثغرة في الواقع حتى الآن.

فهم Multipath TCP والثغرة

لفهم هذه الثغرة، دعنا نتعرف على Multipath TCP أو MPTCP. هذه الميزة في بروتوكول TCP تسمح للاتصال الواحد باستخدام مسارات متعددة عبر الشبكة في نفس الوقت. هذا يجعل الاتصال أسرع وأكثر موثوقية، وهو مفيد جداً في الأجهزة التي لديها أكثر من اتصال شبكي، مثل شبكات Wi-Fi والشبكات الخلوية.

الثغرة نفسها هي من نوع 'use-after-free' في كود شبكات IPv4 TCP الخاص بالنواة. تنشأ المشكلة من خلل في توقيت معالجة النواة لطلبات اتصال TCP. هذا الخلل قد يؤدي إلى حالة 'use-after-free' حيث يتم استخدام ذاكرة تم تحريرها بالفعل، مما يفتح الباب أمام المهاجمين. على الرغم من أن Red Hat تصنفها كثغرة قد تسبب حرمانًا من الخدمة (Denial-of-Service) بدرجة خطورة 5.9 نظراً لتعقيد استغلالها، إلا أن باحثي Anthropic أثبتوا إمكانية تنفيذ أوامر عن بعد.

تحديداً، يوضح الإشعار الخاص بنواة Linux أن الدالة tcp_v4_syn_recv_sock() تنقل ملكية ireq->ireq_opt إلى مأخذ التوصيل الفرعي (child socket) دون نسخه. يمكن لوحدة معالجة مركزية أخرى أن تعالج في نفس الوقت طلب SYN معاد إرساله لنفس مأخذ التوصيل، وترسل SYNACK. هذا يؤدي إلى قراءة ireq->ireq_opt بشكل متزامن، ومن ثم قراءة opt->optlen مرتين، مما يخلق الثغرة. قد تحدث مشكلة مماثلة أثناء ترحيل مأخذ توصيل طلب TCP عند تفعيل net.ipv4.tcp_migrate_req، أو استخدام برنامج BPF_SK_REUSEPORT_SELECT_OR_MIGRATE.

من المهم أن تعرف أن بعض البرامج قد تقوم بتفعيل MPTCP تلقائياً دون علم المسؤولين. على سبيل المثال، بدءاً من الإصدار Go 1.24، تقوم لغة البرمجة Go بتفعيل MPTCP افتراضياً لمستمعي TCP على Linux إذا كانت النواة تدعم هذه الميزة. هذا يعني أن بعض خدمات الشبكة المبنية بلغة Go قد تشغل MPTCP دون أن تدرك ذلك، مما يزيد من تعرضها للخطر.

من يتأثر وماذا يجب أن تفعل؟

تؤثر هذه الثغرة على إصدارات عديدة من نواة Linux، بدءاً من الإصدار 4.4. هذا يشمل توزيعات Linux واسعة الاستخدام مثل Ubuntu (الإصدارات 22.04 LTS, 24.04 LTS, 26.04 LTS, 26.10) و Red Hat Enterprise Linux (RHEL) (الإصدارات 8, 9, 10) و Rocky Linux (الإصدارات 8, 9, 10). لكن، Red Hat Enterprise Linux 7 لا يتأثر لأن نواته لا تحتوي على الكود المعرض للخطر. أيضاً، لا تتأثر أنظمة macOS بهذه الثغرة لأنها تستخدم نواة XNU.

لقد تم إصلاح الثغرة في نواة Linux الأصلية، وتم ترحيل الإصلاحات إلى الفروع الرئيسية المدعومة. وقد أصدر بعض الموردين تحديثات بالفعل، مثل Debian (في إصدارات الحزمة 6.1.190-1 لـ Debian 12 و 6.12.113-1 لـ Debian 13)، بالإضافة إلى Oracle Linux و Amazon Linux و SUSE. لكن، لا تزال التحديثات قيد العمل لبعض التوزيعات الأخرى مثل Ubuntu و RHEL، حيث أعلنت Canonical أن إصلاحات النواة قيد التقدم اعتباراً من 30 أكتوبر.

ماذا يعني هذا لك؟ إذا كنت تدير خوادم Linux، فمن الضروري جداً أن تتحقق من إشعارات الأمان الخاصة بتوزيعتك وتثبيت حزم النواة المحدثة فور توفرها.

بالنسبة للأنظمة التي لم تتوفر لها التحديثات بعد، هناك إجراءات وقائية يمكنك اتخاذها. يمكنك تقييد الوصول إلى الشبكات الموثوقة أو عناوين IP محددة. كما توصي شركة CIQ، المزود لدعم Rocky Linux، بحماية مؤقتة عبر جدار الحماية، وذلك بحظر حزم IPv4 TCP التي تحتوي على خيارات IP قبل وصولها إلى كود معالجة TCP المعرض للخطر. لكن تذكر، تعطيل MPTCP وحده ليس كافياً، لأن الثغرة الأساسية يمكن أن تُستغل عبر حركة مرور TCP العادية.