Matt Coralloが重大なLinuxカーネル脆弱性を指摘、Lightning LabsがLND緊急対策版をリリース
重要ポイント
- •CVE-2026-98432はLinuxカーネルのIPv4 TCPハンドシェイクコードにおけるCVSSスコア9.8の重大な脆弱性で、10月30日にBitcoin Core開発者のMatt Coralloが公に指摘した。
- •AnthropicのFrontier Red Teamは、Go 1.24以降でデフォルトで有効になるMultipath TCPリスナーを公開しているシステム(最近のLNDを含む)に対し、この脆弱性がリモートルートエクスプロイトに発展可能であることを実証した。
- •Lightning Labsは同日にlnd v0.21.6-betaとv0.20.7-betaをリリースし、MPTCPリスナーをデフォルトで無効化。これは実証済みのエクスプロイト経路を遮断する緩和策だが、根本的なカーネルの問題は完全には解決しない。
- •Marcus Hutchinsは脅威アクターが露出システムを探しているとみられるスキャン活動を検知し、ポート443でMPTCP経由で到達可能な約210万台のサーバーを特定した。
- •Red Hatは11月1日にRHEL 8、9、10向けの修正を出荷し、他のディストリビューションはそれより早くパッチを適用済み。一方、CanonicalのUbuntu 22.04、24.04、26.04向け修正済みカーネルはオプトインのproposedポケットに留まっており、悪用の確証は報告されておらず、CISAの既知の悪用済み脆弱性カタログにも追加されていない。
Bitcoin CoreおよびLightning Network開発者のMatt Coralloは10月30日、重大なLinuxカーネル脆弱性に注意を喚起し、彼が「史上最も重大なLinux脆弱性」と呼んだ問題へのUbuntuの対応の遅れを批判した。この脆弱性はCVE-2026-98432として追跡されており、カーネルのIPv4 TCPハンドシェイクコードに影響し、CVSS深刻度スコアは9.8。これは最大値が10の共通脆弱性評価システム(CVSS)においてクリティカル帯に位置する。AnthropicのFrontier Red Teamはその後、単一のTCP接続を複数のネットワーク経路で同時に実行できるカーネルのネットワーク機能であるMultipath TCP(MPTCP)リスナーを公開しているシステムに対し、この脆弱性がリモートルートエクスプロイトに発展可能であることを実証した。
Peter Toddも同日にこの警告に同調し、開放ポートのあるLinux上でLNDを運用しているすべてのユーザーに対し、カーネルがパッチ適用またはその他の対策が施されるまでBitcoin Lightningノードをシャットダウンするよう促した。実証されたエクスプロイト経路はMPTCPリスナーに依存しており、これはGo 1.24以降でデフォルトで有効になるもので、Bitcoinソフトウェアに固有ではなくGoエコシステム全体に及ぶ言語レベルのデフォルト設定である。LNDはGoで書かれているため、カーネルでこの機能が有効になっている場合、最近のバージョンはpeer、gRPC、RESTポートでMPTCPを使用して待ち受けていた。
Lightning Labsは同日、緊急リリースで対応した。lnd v0.21.6-betaと、バックポート版のv0.20.7-betaである。プロジェクトのリリースノートによると、両リリースともMPTCPリスナーをデフォルトで無効化し、LNDを経由する実証済みエクスプレイト経路を遮断するという。この変更は修正ではなく緩和策と位置付けられており、プロジェクトは根本的な問題を完全に解決するのはパッチ適用済みカーネルのみであると指摘している。MPTCPがホスト全体で無効化されるかカーネルが更新されるまで、同一マシン上の他のサービスは引き続き露出状態にある。Olaoluwa OsuntokunとLightning Labsの公式アカウントの両方がアップデートの適用を推奨した。
セキュリティ研究者のMarcus Hutchinsはその後、脅威アクターが露出したシステムを探していると考えられるインターネット規模のスキャン活動を報告した。彼のスキャンでは、HTTPSトラフィックの標準ポートであるポート443でMPTCP経由で到達可能な約210万台のサーバーが特定された。International Cyber Digestは11月4日にこの発見を取り上げ、スキャン活動とUbuntuのパッチ提供の遅れの両方を指摘した。
Canonicalはその後、Ubuntu 22.04、24.04、26.04向けの修正済みカーネルを、より広いリリース前にパッケージがテストされるステージング領域であるオプトインのproposedポケットで公開したが、通常のアップデートチャネルにはまだ到達していない。Red Hatは11月1日にRHEL 8、9、10向けの修正を出荷し、Debian、Amazon Linuxなどのディストリビューションはすでにそれより早くパッチをリリースしていた。
UmbrelOS 2.0.1は11月1日にx86デバイス向けにカーネル修正を含め、修正済みカーネルがまだ入手できなかったRaspberry Piにはトラフィック遮断の緩和策を適用した。実際に悪用された確証は報告されておらず、この脆弱性はCISAの既知の悪用済み脆弱性カタログにも追加されていない。Anthropicのリモートルート実証は未公開のままである。
実際の露出が最も高いのはインターネットに面したサーバーである。一般的なNATとファイアウォールの背後にあり、公開TCPリスナーのない家庭用デスクトップシステムは、はるかに影響が少ない。Linux上のLightning運用者にとって、新しいLNDリリースは公開エクスプロイトが使用した特定のMPTCPリスナー経路を排除するが、パッチ適用済みカーネルがインストールされるまで、より広範なカーネルの脆弱性は残る。今後注目すべきポイントは、Ubuntuによる修正済みカーネルのproposedポケットから通常のアップデートチャネルへの昇格、Anthropicのリモートルート実証の公開、そしてこの脆弱性がCISAの既知の悪用済み脆弱性カタログに追加されるかどうかである。
この記事はBitcoin Magazineに最初に掲載され、Juan Galtによって執筆されました。
