Валидаторам Solana рекомендовано фильтровать трафик из-за неустранённой уязвимости в Linux
- Anza предупредила валидаторов Solana mainnet-beta 2 ноября действовать в связи с критической уязвимостью CVE-2026-98432 в ядре Linux.
- Тим Гарсия порекомендовал операторам Ubuntu отбрасывать входящие TCP-пакеты, содержащие опции IPv4, и отключить две функции TCP.
- В трекере Ubuntu по-прежнему указано, что поддерживаемые ядра находятся «в стадии исправления», хотя уязвимость уже устранена в основной ветке.
2 ноября Anza направила валидаторам Solana mainnet-beta предупреждение «Требуется действие» касательно критической уязвимости в ядре Linux, для которой в Ubuntu ещё не выпущено патча.
Разработчик Solana процитировал обсуждение с участием Тима Гарсии, руководителя направления по работе с валидаторами в Solana Foundation, который призвал операторов Ubuntu фильтровать трафик до выхода исправления.
Гарсия предлагает отключить Multipath TCP и миграцию сокетов
В своём посте Гарсия перечисляет три изменения, которые необходимо внести до появления пакета Ubuntu. Операторам следует использовать nftables для отбрасывания входящих TCP-пакетов с опциями IPv4.
Он рекомендовал отключить Multipath TCP с помощью параметра net.mptcp.enabled=0. Отключение миграции сокетов запросов TCP выполняется через net.ipv4.tcp_migrate_req=0.
Red Hat предупредила, что фильтрация снижает риски, но не предотвращает эксплуатацию полностью.
Уведомление касается валидаторов, работающих на Ubuntu. Требования Anza предусматривают, что сборка клиента и его запуск должны осуществляться на Ubuntu 24.04, а также требуется публичный IPv4-адрес.
По словам Гарсии, дефект ядра CVE-2026-98432 уже исправлен в основной ветке, однако обновление для пользователей Ubuntu пока не опубликовано.
CVE впервые опубликована 15 октября и последний раз обновлена 30 октября через трекер Canonical. Основной пакет ядра для версий 26.10, 26.04 LTS, 24.04 LTS и 22.04 LTS помечен как «Уязвимость: работа ведётся».
Сборки 20.04 и 18.04 более старых версий просто указаны как уязвимые. У этой ошибки оценка CVSS составляет 9.8, а приоритет в Ubuntu — Высокий.
CVE-2026-98432 позволяет ядру читать освобождённую память
CVE-2026-98432: Use-after-free в коде IPv4 ядра. Даже после освобождения памяти ядро всё ещё может считывать данные из памяти, которая ранее принадлежала сетевому соединению.
Описание Canonical связывает эту проблему с TCP-рукопожатием для входящих соединений. Дочерний сокет освобождается, пока второй процессор обрабатывает повторную отправку SYN для того же запроса, что приводит к чтению ip_options_build() освобождённой памяти.
Существует аналогичная ошибка при включённой миграции сокета запроса TCP, поэтому Гарсия отключает её в своём списке. IPv6 избегает первой проблемы, поскольку его код рукопожатия дублирует опции.
1 ноября Red Hat опубликовал рекомендации с исправлениями ядра для RHEL 8, 9 и 10. В Debian исправленные пакеты доступны для bookworm и trixie.
Криптоинфраструктура уже сталкивалась с уязвимостями Linux ранее в этом году. В мае 2026 года Cryptopolitan сообщал о двух ошибках ядра — Copy Fail и Dirty Frag, которые привели к повышенной тревожности среди бирж, валидаторов и систем хранения ключей.
Взломанный сервер на Linux может раскрыть учётные данные подписи и административный доступ к системе.
Операторам Solana рекомендовалось установить критический патч v3.0.14 для валидатора в январе. На этот раз ошибка находится в ядре, от которого зависит клиент, то есть ниже уровня клиентского программного обеспечения.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Часто задаваемые вопросы
Кто выдал предупреждение валидаторам Solana?
Anza предупредила валидаторов mainnet-beta 2 ноября, усилив рекомендации Тима Гарсии, руководителя по работе с валидаторами в Solana Foundation.
Какие меры предосторожности должны принять валидаторы Ubuntu прямо сейчас?
Гарсия рекомендовал блокировать входящие TCP-пакеты с опциями IPv4, отключить Multipath TCP и отключить миграцию сокетов TCP-запросов до тех пор, пока Ubuntu не выпустит патч.
Влияет ли эта уязвимость на каждый валидатор Solana?
Нет. Рекомендации касаются валидаторов, работающих на Ubuntu, а не всех валидаторов Solana.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ранда Моуз
Ранда Мозес — редактор и репортёр Cryptopolitan, освещающая технологии, ИИ, робототехнику, криптовалюты, мошенничество и взломы. Она работает в сфере криптовалют с 2017 года. Ранда занимала должности в Forward Protocol, AmaZix и Cryptosomniac. Ранда имеет степень в области электротехники и электроники, полученную в Университете Брэдфорда.
