Anza fordert Ubuntu-basierte Solana-Validatoren auf, den Traffic zu filtern, während die Korrektur des Linux-Kernels aussteht
Wichtige Erkenntnisse
- •Anza gab am 2. November eine „Action Required“-Warnung heraus, mit der Solana-mainnet-beta-Validatoren auf Ubuntu aufgefordert wurden, CVE-2026-98432 abzumildern – einen kritischen Linux-Kernel-Fehler, den Ubuntu noch nicht gepatcht hat.
- •Zu den empfohlenen Maßnahmen gehören der Einsatz von nftables zum Verwerfen eingehender TCP-Pakete mit IPv4-Optionen, die Deaktivierung von Multipath TCP mit net.mptcp.enabled=0 und das Abschalten der Migration von TCP-Request-Sockets mit net.ipv4.tcp_migrate_req=0.
- •CVE-2026-98432 ist ein Use-after-Free-Fehler im IPv4-TCP-Handshake-Code des Kernels mit einem CVSS-Score von 9,8 und einer Ubuntu-Priorität von High; Red Hat warnte, dass Traffic-Filterung die Gefahr verringert, aber eine Ausnutzung nicht vollständig verhindert.
- •Der Fehler wurde upstream behoben; Red Hat lieferte am 1. November Kernel-Fixes für RHEL 8, 9 und 10 und Debian korrigierte bookworm und trixie, doch Canonical kennzeichnet Ubuntu-Kernel-Pakete weiterhin als „Vulnerable work in progress“ – die Korrektur muss also über die Distribution statt über ein Validator-Client-Release kommen.
- •Der Hinweis betrifft Ubuntu-basierte Validatoren unmittelbar, da Anza Ubuntu 24.04 mit einer öffentlichen IPv4-Adresse voraussetzt – die Adressfamilie, deren eingehender TCP-Handshake-Pfad den Fehler enthält –, während IPv6 das Hauptproblem umgeht.
Anza gab am 2. November eine „Action Required“-Warnung heraus, in der Solana-mainnet-beta-Validatoren aufgefordert werden, eine kritische Schwachstelle im Linux-Kernel abzumildern, die Ubuntu noch nicht gepatcht hat.
Der Solana-Softwareentwickler zitierte einen Thread von Tim Garcia, dem Validator-Relations-Lead der Solana Foundation, der Betreiber auf Ubuntu anwies, den Traffic zu filtern, bis ein Fix verfügbar ist.
Validatoren sind die Maschinen, die Solana-Transaktionen verarbeiten und den Netzwerk-Konsens aufrechterhalten. Ein ungepatchter Fehler in ihrem Betriebssystem betrifft daher die Kerninfrastruktur und nicht nur periphere Werkzeuge.
Garcia möchte Multipath TCP und Socket-Migration abgeschaltet haben
In Garcias Thread listet er drei Maßnahmen auf, die umgesetzt werden sollen, bis ein Ubuntu-Paket verfügbar ist. Betreiber sollten nftables einsetzen, um eingehende TCP-Pakete mit IPv4-Optionen zu verwerfen.
Er empfahl außerdem, Multipath TCP mit net.mptcp.enabled=0 zu deaktivieren, während net.ipv4.tcp_migrate_req=0 die Migration von TCP-Request-Sockets abschaltet.
Red Hat warnte, dass Filterung die Angriffsfläche verkleinert, aber eine Ausnutzung nicht vollständig verhindert.
Der Hinweis gilt für Validatoren, die Ubuntu einsetzen. Anzas Anforderungen sehen vor, dass der Client auf Ubuntu 24.04 gebaut wird, dort läuft und über eine öffentliche IPv4-Adresse verfügt – die Adressfamilie, deren eingehender TCP-Handshake-Pfad den Fehler enthält.
Nach Angaben von Garcia wurde der Kernel-Fehler CVE-2026-98432 bereits upstream behoben, doch für Ubuntu-Nutzer wurde bislang noch kein Update veröffentlicht. Da der Fehler im Kernel liegt, kann ihn kein Validator-Client-Release auf Ubuntu-Hosts schließen; die Korrektur muss über die Distribution kommen.
CVE-2026-98432 führt dazu, dass der Kernel freigegebenen Speicher liest
Canonicals Tracker, der die CVE erstmals am 15. Oktober veröffentlichte und sie zuletzt am 30. Oktober aktualisierte, kennzeichnet das Haupt-Kernel-Paket auf 26.10, 26.04 LTS, 24.04 LTS und 22.04 LTS als „Vulnerable work in progress“. Ältere Builds wie 20.04 und 18.04 werden schlicht als verwundbar gelistet. Der Fehler weist einen CVSS-Score von 9,8 auf – innerhalb des kritischen Bereichs der Skala – und eine Ubuntu-Priorität von High.
CVE-2026-98432 ist eine Use-after-Free-Schwachstelle im IPv4-Code des Kernels: Auch nach der Freigabe von Speicher kann der Kernel weiterhin Speicher lesen, der Teil einer Netzwerkverbindung war. Canonicals Beschreibung bringt ihn mit dem TCP-Handshake für eingehende Verbindungen in Verbindung – der Child-Socket wird freigegeben, während ein erneut übertragener SYN für denselben Request-Socket von einer zweiten CPU verarbeitet wird, wodurch ip_options_build() auf freigegebenen Speicher zugreift.
Ein ähnlicher Fehler tritt auf, wenn die Migration von TCP-Request-Sockets aktiviert ist – weshalb Garcia sie in seiner Liste abschaltet. IPv6 umgeht das erste Problem, da sein Handshake-Code die Optionen dupliziert.
Am 1. November veröffentlichte Red Hat Advisories mit Kernel-Fixes für RHEL 8, 9 und 10, und Debian hat korrigierte Pakete für bookworm und trixie. Ubuntu-basierte Betreiber bleiben derweil auf Garcias Minderungsmaßnahmen angewiesen, bis Canonicals Kernel-Paket eintrifft und die CVE aus dem Status „Vulnerable work in progress“ herausbewegt.
Linux-Fehler haben die Krypto-Infrastruktur bereits zuvor getroffen
Die Krypto-Infrastruktur wurde in diesem Jahr bereits zuvor von Linux-Fehlern getroffen. Im Mai 2026 berichtete Cryptopolitan über zwei Kernel-Bugs, Copy Fail und Dirty Frag, die Börsen, Validatoren und Custody-Systeme in Alarmbereitschaft versetzten. Ein kompromittierter Linux-Server kann Signing-Credentials und Admin-Zugriff auf der Maschine offenlegen.
Im Januar wurden Solana-Betreiber aufgefordert, einen kritischen Validator-Patch, v3.0.14, anzuwenden. Diesmal liegt der Fehler im Kernel, von dem der Client abhängt – unterhalb der Client-Software selbst, weshalb Anzas Warnung die Betreiber zu Betriebssystem-Maßnahmen statt zu einem Software-Upgrade leitet.
