Anza sollecita i validator Solana su Ubuntu a filtrare il traffico in attesa della correzione del kernel Linux
Punti chiave
- •Il 2 novembre Anza ha emesso un avviso 'Action Required' indirizzato ai validator Solana mainnet-beta su Ubuntu per attenuare CVE-2026-98432, una grave vulnerabilità del kernel Linux che Ubuntu non ha ancora corretto.
- •Le mitigazioni consigliate includono l'uso di nftables per scartare i pacchetti TCP in ingresso con opzioni IPv4, la disabilitazione di Multipath TCP con net.mptcp.enabled=0 e la disattivazione della migrazione dei socket di richiesta TCP con net.ipv4.tcp_migrate_req=0.
- •CVE-2026-98432 è un difetto use-after-free nel codice di handshake TCP IPv4 del kernel con punteggio CVSS 9,8 e priorità Ubuntu High, e Red Hat ha avvertito che il filtraggio del traffico riduce ma non impedisce completamente lo sfruttamento.
- •La vulnerabilità è stata corretta upstream, e Red Hat ha distribuito correzioni del kernel per RHEL 8, 9 e 10 il 1° novembre mentre Debian ha corretto bookworm e trixie, ma Canonical contrassegna ancora i pacchetti kernel di Ubuntu come 'Vulnerable work in progress', il che significa che la correzione deve arrivare tramite la distribuzione anziché tramite una versione del client validator.
- •L'avviso riguarda pienamente i validator basati su Ubuntu perché Anza richiede Ubuntu 24.04 con un indirizzo IPv4 pubblico, la famiglia di indirizzi il cui percorso di handshake TCP in ingresso contiene la vulnerabilità, mentre IPv6 evita il problema principale.
Anza ha emesso un avviso "Action Required" il 2 novembre invitando i validator Solana mainnet-beta ad attenuare una grave vulnerabilità del kernel Linux che Ubuntu non ha ancora corretto.
Lo sviluppatore del software Solana ha citato un thread di Tim Garcia, responsabile delle relazioni con i validator della Solana Foundation, indirizzando gli operatori che utilizzano Ubuntu a filtrare il traffico in attesa di una correzione.
I validator sono le macchine che elaborano le transazioni Solana e mantengono il consenso della rete, quindi una vulnerabilità non corretta nel loro sistema operativo riguarda l'infrastruttura principale e non strumenti accessori.
Garcia vuole Multipath TCP e migrazione dei socket disattivati
In nel thread di Garcia, egli elenca tre modifiche da apportare finché non sarà disponibile un pacchetto Ubuntu. Gli operatori dovrebbero utilizzare nftables per scartare i pacchetti TCP in ingresso con opzioni IPv4.
Ha anche consigliato di disabilitare Multipath TCP con net.mptcp.enabled=0, mentre net.ipv4.tcp_migrate_req=0 disattiva la migrazione dei socket di richiesta TCP.
Red Hat ha avvertito che il filtraggio riduce l'esposizione ma non impedisce completamente lo sfruttamento.
L'avviso riguarda i validator che eseguono Ubuntu. I requisiti di Anza stabiliscono che il client si compila e viene eseguito su Ubuntu 24.04 e richiede un indirizzo IPv4 pubblico — la famiglia di indirizzi il cui percorso di handshake TCP in ingresso contiene la vulnerabilità.
Secondo Garcia, il difetto del kernel, CVE-2026-98432, è stato corretto upstream, ma non è ancora stato pubblicato alcun aggiornamento per gli utenti Ubuntu. Poiché il difetto si trova nel kernel, nessuna versione del client validator può chiuderlo sugli host Ubuntu; la correzione deve arrivare tramite la distribuzione.
CVE-2026-98432 induce il kernel a leggere memoria liberata
Il tracker di Canonical, che ha pubblicato per la prima volta il CVE il 15 ottobre e lo ha aggiornato l'ultima volta il 30 ottobre, contrassegna il pacchetto kernel principale su 26.10, 26.04 LTS, 24.04 LTS e 22.04 LTS come "Vulnerable work in progress". Le versioni più datate 20.04 e 18.04 sono semplicemente elencate come vulnerabili. Il bug presenta un punteggio CVSS di 9,8 — nell'intervallo critico della scala — e una priorità Ubuntu High.
CVE-2026-98432 è una vulnerabilità use-after-free nel codice IPv4 del kernel: anche dopo la liberazione della memoria, il kernel può comunque leggere memoria che faceva parte di una connessione di rete. La descrizione di Canonical la collega all'handshake TCP per le connessioni in ingresso — il socket figlio viene liberato mentre un SYN ritrasmesso per lo stesso socket di richiesta viene elaborato da una seconda CPU, con il risultato che ip_options_build() legge memoria liberata.
Un bug simile si verifica quando la migrazione dei socket di richiesta TCP è abilitata, ed è per questo che Garcia la disattiva nel suo elenco. IPv6 evita il primo problema, poiché il suo codice di handshake duplica le opzioni.
Il 1° novembre Red Hat ha pubblicato avvisi con correzioni del kernel per RHEL 8, 9 e 10, e Debian ha pacchetti corretti per bookworm e trixie. Gli operatori basati su Ubuntu, nel frattempo, restano sulle mitigazioni di Garcia fino all'arrivo del pacchetto kernel di Canonical, che porterà il CVE fuori da "Vulnerable work in progress".
Le vulnerabilità Linux hanno già colpito l'infrastruttura crittografica
L'infrastruttura crittografica è già stata colpita quest'anno da vulnerabilità Linux. A maggio 2026, Cryptopolitan ha riportato due bug del kernel, Copy Fail e Dirty Frag, che hanno messo in allerta exchange, validator e sistemi di custodia. Un server Linux compromesso può esporre le credenziali di firma e l'accesso amministrativo sulla macchina.
A gennaio, agli operatori Solana era stato consigliato di applicare una correzione critica del validator, v3.0.14. Questa volta, il bug si trova nel kernel da cui il client dipende — sotto il software client stesso, ed è per questo che l'avviso di Anza indirizza gli operatori verso mitigazioni a livello di sistema operativo anziché un aggiornamento software.
