Уязвимость ядра Linux угрожает серверам на Astra Linux: рекомендации «Группы Астра»

Проблема получила идентификатор CVE-2026-98432. В её основе — ошибка использования памяти после освобождения (use-after-free) в сетевом стеке IPv4/TCP. Атакующий формирует серию сетевых запросов и ловит краткий миг, когда ядро находится в уязвимом состоянии. В лабораторных условиях на подбор этого момента ушло 53 минуты. При неудачной попытке сервер не падает, поэтому атакующий может повторять атаку до успеха.

Особую опасность представляет Multipath TCP (MPTCP). Этот протокол позволяет усилить атаку и превратить ошибку памяти в полноценное удалённое выполнение кода через слушающий MPTCP-сокет. Сценарий может срабатывать и без MPTCP — при обработке повторных запросов на установку соединения и при миграции TCP-сокетов.

Риск усиливается незаметно для администратора. Начиная с версии Go 1.24 стандартная сетевая библиотека включает MPTCP для слушающих сокетов по умолчанию, если операционная система поддерживает этот протокол. Это значит, что серверное приложение на Go может использовать MPTCP, даже если никто не настраивал его вручную. Отключение MPTCP только для конкретного Go-приложения не гарантирует защиту всей машины, поэтому системная настройка остаётся обязательной.

Чем опасна уязвимость MPTCP для российских серверов

Astra Linux широко применяется в государственных и корпоративных средах, где серверы часто обслуживают критичные сервисы — от веб-порталов до внутренних API. Приложения на Go популярны в высоконагруженных системах и микросервисах. Сочетание уязвимого ядра и незаметно активированного MPTCP создаёт риск скрытой компрометации серверов, обрабатывающих внешние подключения.

Временные меры защиты до выхода патча для Astra Linux

Обновление основного ядра Linux уже закрывает ошибку, однако готового патча для Astra Linux на момент публикации нет, и сроки его выхода не названы. До установки исправления администраторам следует отключить MPTCP на уровне системы (net.mptcp.enabled=0) и запретить миграцию TCP-запросов (net.ipv4.tcp_migrate_req=0). Для приложений на Go необходимо принудительно выключить MPTCP через переменную GODEBUG=multipathtcp=0 или через директиву godebug multipathtcp=0 в go.mod и пересобрать программу. На системах с повышенными требованиями к защите «Группа Астра» рекомендует дополнительные меры: мандатный контроль целостности, замкнутую программную среду, модуль LKRG, запрет доступа к /dev/mem и блокировку bash. Эти меры следует применять после проверки совместимости, так как они могут нарушить работу сервисов.