LND cập nhật bảo mật, kernel vẫn cần bản vá riêng

Bản cập nhật bảo mật cho phần mềm nút Lightning LND chặn một đường tấn công từ xa đã được trình diễn, nhưng không sửa lỗ hổng trong nhân Linux. Lightning Labs công bố bản cập nhật ngày 30 tháng 10.

Bản cập nhật gồm LND v0.20.7-beta và v0.21.6-beta. Cả hai phiên bản đều tắt trình lắng nghe MPTCP vốn được mở mặc định trên Linux. Trong ghi chú phát hành chính thức, Lightning Labs mô tả đây là biện pháp giảm thiểu đường tấn công và cho biết cần có bản vá nhân Linux để xử lý lỗ hổng.

Lỗ hổng có mã CVE-2026-98432. Đây là lỗi use-after-free, xảy ra khi nhân Linux tham chiếu lại vùng bộ nhớ đã được giải phóng trong quá trình xử lý kết nối TCP IPv4. Trình theo dõi bảo mật Ubuntu chấm mức độ nghiêm trọng của lỗi là 9,8 theo CVSS 3.1.

Anthropic cho biết trong nghiên cứu công bố ngày 27 tháng 10 rằng họ đã trình diễn cách thực thi lệnh từ xa trên máy chủ Linux có mở trình lắng nghe MPTCP. Cuộc trình diễn không cần xác thực hay thao tác từ người dùng. Đường tấn công được công bố sử dụng MPTCP, nhưng lỗi trong nhân không chỉ giới hạn ở MPTCP.

MPTCP, viết tắt của Multipath TCP, là phần mở rộng cho phép một kết nối TCP sử dụng đồng thời nhiều đường mạng. Trình lắng nghe là đầu mối liên lạc của một chương trình máy chủ, chờ yêu cầu kết nối từ thiết bị khác.

Từ Go 1.24, các chương trình Go trên Linux có thể mở trình lắng nghe MPTCP theo cấu hình mặc định. Vì vậy, LND 0.21.x có thể mở trình lắng nghe MPTCP cho kết nối ngang hàng và các giao diện gRPC, REST. Thảo luận liên quan trong dự án Go cũng đề cập đến hành vi mặc định này.

Lightning Labs khuyến nghị nhà vận hành cập nhật LND, tắt MPTCP trên máy chủ và cài bản vá bảo mật nhân Linux do bản phân phối cung cấp. Bản cập nhật LND thay đổi cấu hình trình lắng nghe của ứng dụng này, nhưng không tác động đến nhân hay các chương trình khác chạy trên cùng máy chủ.

Nhà vận hành chưa thể cập nhật LND có thể chạy tệp nhị phân hiện tại với cấu hình GODEBUG=multipathtcp=0. Biện pháp này cũng chỉ áp dụng cho trình lắng nghe của chương trình đó. Nếu chạy nút trong container, nhà vận hành cần kiểm tra thêm cấu hình MPTCP ở từng network namespace.

Canonical và Red Hat cùng nhấn mạnh rằng vẫn cần bản vá nhân Linux. Canonical cho biết tắt MPTCP không loại bỏ lỗi trong nhân. Red Hat cảnh báo hệ thống vẫn có thể bị ảnh hưởng ngay cả khi MPTCP tắt theo cấu hình mặc định; lọc gói tùy chọn IPv4 chỉ giúp giảm mức độ phơi nhiễm, không thay thế bản vá.

Trong trình theo dõi Ubuntu được cập nhật ngày 9 tháng 11, gói linux thông thường được ghi nhận đã có phiên bản sửa lỗi 7.3.0-10.10 trên Ubuntu 26.10. Với Ubuntu 24.04 LTS, trạng thái sửa lỗi được ghi là đang thực hiện trên phiên bản 6.8.0-149.149; với Ubuntu 22.04 LTS là phiên bản 5.15.0-203.213.

Ngày 2 tháng 11, Canonical cho biết các bản sửa lỗi dành cho Ubuntu 22.04 và 24.04 đã có trong kho -proposed để kiểm chứng. Các bản vá vượt qua kiểm tra độ ổn định sẽ được phân phối qua kho cập nhật thông thường. Trạng thái sửa lỗi có thể khác nhau tùy loại nhân và gói phần mềm, nên chỉ dựa vào tên bản phân phối là chưa đủ để xác định bản vá đã được cài hay chưa.

Trong cuộc thảo luận trên Hacker News, người dùng tranh luận liệu MPTCP là điều kiện của lỗ hổng hay chỉ là đường khai thác được dùng trong buổi trình diễn, cũng như việc lọc gói tùy chọn IPv4 có hiệu quả trong mạng thực tế hay không. Tại thời điểm kiểm tra ngày 10 tháng 11, bài đăng có 751 điểm và 334 bình luận. Đây là thảo luận của người dùng, không phải bằng chứng xác nhận đã xảy ra một cuộc tấn công.

AWS cho biết trong thông báo bảo mật cập nhật ngày 6 tháng 11 rằng họ chưa tìm thấy bằng chứng khai thác lỗ hổng trong phạm vi quan sát của mình vào thời điểm đó. Nhận định này chỉ giới hạn trong phạm vi quan sát của AWS.

Sau khi cài bản cập nhật bảo mật nhân Linux, cần khởi động lại máy để áp dụng nhân mới. Có thể kiểm tra phiên bản nhân đang chạy bằng lệnh uname -r.