内核 IPv4/TCP 协议栈 9.8 分漏洞 CVE-2026-98432

Anthropic 还在 Linux 内核的网络协议栈中发现了可远程触发（零点击）的任意代码执行漏洞，这些漏洞已在上游修复并公开披露。下文将详细介绍其中一个示例。

在初步提示下，Claude 编写了一个漏洞利用程序，允许远程攻击者向启用了 MPTCP 监听器的 Linux 服务器发送数据包，从而以 root 用户身份执行任意命令，而无需任何凭据或用户交互。该漏洞的根本原因是内核网络协议栈中由竞争条件引起的 UAF 错误。完整的漏洞利用过程分为两个关键阶段：

在第一阶段，攻击者远程破解了 KASLR 。它利用竞争条件，诱使内核读取攻击者控制的长度字段，复制额外的字节并将其发送回攻击者。只要其中一次超读操作的回复中包含内核指针，攻击者就能获知内核地址空间布局。
在第二阶段，攻击者劫持了控制流。它利用相同的 UAF 漏洞溢出缓冲区，并将回调指针覆盖为攻击者已通过普通协议特性预先加载到内核内存中的有效载荷的地址。当内核调用回调函数时，有效载荷会链接一系列对现有内核函数的调用，最终以 root 权限运行攻击者选择的 shell 命令。
这种竞争条件的一个关键特性是，即使竞争失败，也只会导致握手失败而不会导致整个系统崩溃，因此，决心攻击的攻击者可以无限重试，直到成功为止。在我们的概念验证中，泄露内核指针需要 48 分钟，而执行 shell 命令则需要另外 5 分钟。