Anza выпустила предупреждение «Action Required» 2 ноября, призывая валидаторов Solana mainnet-beta устранить критическую уязвимость в ядре Linux, которую Ubuntu ещё не исправила.

Разработчик Solana процитировал ветку Тима Гарсии, руководителя по работе с валидаторами Solana Foundation, в которой операторам на Ubuntu предписано фильтровать трафик до выхода исправления.

Валидаторы — это машины, обрабатывающие транзакции Solana и поддерживающие консенсус сети, поэтому непропатченная уязвимость в их операционной системе затрагивает базовую инфраструктуру, а не вспомогательные инструменты.

Гарсия требует отключить Multipath TCP и миграцию сокетов

В ветке Гарсии перечислены три изменения, которые нужно внести, пока не появится пакет для Ubuntu. Операторам следует использовать nftables для отбрасывания входящих TCP-пакетов с IPv4-опциями.

Он также посоветовал отключить Multipath TCP с помощью net.mptcp.enabled=0, а net.ipv4.tcp_migrate_req=0 выключает миграцию TCP request-сокетов.

Red Hat предупредила, что фильтрация сокращает область воздействия, но не предотвращает эксплуатацию полностью.

Предупреждение касается валидаторов, работающих на Ubuntu. Согласно требованиям Anza, клиент собирается и работает на Ubuntu 24.04 и требует публичный IPv4-адрес — то семейство адресов, во входящем TCP-хендшейке которого содержится уязвимость.

По словам Гарсии, дефект ядра CVE-2026-98432 исправлен в upstream, но обновление для пользователей Ubuntu пока не выпущено. Поскольку дефект находится в ядре, ни один релиз клиента валидатора не сможет его закрыть на хостах Ubuntu; исправление должно прийти через дистрибутив.

CVE-2026-98432 заставляет ядро читать освобождённую память

Трекер Canonical, впервые опубликовавший CVE 15 октября и в последний раз обновивший его 30 октября, помечает главный пакет ядра на 26.10, 26.04 LTS, 24.04 LTS и 22.04 LTS как «Vulnerable work in progress». Более старые сборки 20.04 и 18.04 просто значатся как уязвимые. Уязвимость имеет оценку CVSS 9.8 — в критическом диапазоне шкалы — и приоритет High в Ubuntu.

CVE-2026-98432 — это ошибка use-after-free в IPv4-коде ядра: даже после освобождения памяти ядро всё ещё может читать память, входившую в сетевое соединение. В описании Canonical она связана с TCP-хендшейком входящих соединений — дочерний сокет освобождается, пока второй CPU обрабатывает повторно переданный SYN для того же request-сокета, в результате чего ip_options_build() читает освобождённую память.

Похожая ошибка возникает при включённой миграции TCP request-сокетов — именно поэтому Гарсия выключает её в своём списке. IPv6 избегает первой проблемы, поскольку его код хендшейка дублирует опции.

1 ноября Red Hat опубликовала рекомендации с исправлениями ядра для RHEL 8, 9 и 10, а Debian выпустил исправленные пакеты для bookworm и trixie. Операторы на Ubuntu, тем временем, остаются на мерах защиты Гарсии, пока не выйдет пакет ядра от Canonical и CVE не перестанет значиться как «Vulnerable work in progress».

Уязвимости Linux уже били по криптоинфраструктуре

Криптоинфраструктура уже пострадала от уязвимостей Linux в этом году. В мае 2026 года Cryptopolitan сообщала о двух ошибках ядра, Copy Fail и Dirty Frag, которые привели в готовность биржи, валидаторы и системы кастодиального хранения. Взломанный Linux-сервер может раскрыть учётные данные для подписи и административный доступ на машине.

В январе операторов Solana призывали применить критический патч валидатора v3.0.14. На этот раз ошибка находится в ядре, от которого зависит клиент, — ниже самого клиентского ПО, поэтому предупреждение Anza направляет операторов к мерам защиты на уровне операционной системы, а не к обновлению ПО.