Hai semuanya, apa kabar? Kali ini aku mau share informasi tentang kerentanan/vulnerabilities lagi. Kali ini berkaitan dengan Kernel Linux. Kerentanan ini ditandai sebagai CVE-2026-98432 dengan skor CVSS (Common Vulnerability Scoring System) senilai 9.8 (makin dekat ke 10, makin parah).
Celah kali ini berkaitan dengan TCP (Transmission Control Protocol) yang berkaitan dengan urusan koneksi jaringan. Lebih tepatnya pada proses TCP handshake. Ada kondisi yang namanya race condition yaitu dua proses di CPU berbeda mengakses data yang sama dalam waktu yang berdekatan. Efeknya adalah kernel bisa membaca memori yang sudah dibebaskan. Jenis bug ini disebut use-after-free.
Kalau race condition-nya “menang”, penyerang bisa:
- Membaca memori kernel yang seharusnya tidak bisa diakses
- Membuat sistem crash
- Dalam skenario terburuk, menjalankan perintah sebagai root dari jarak jauh, tanpa login
Sebenarnya, celah ini sudah ada sejak Linux 4.4, artinya hampir semua Linux modern terdampak kerentanan ini. Namun “skor kerentanan” antar penilai memiliki nilai yang berbeda:
- Tim CVE Linux: 9.8 (kompleksitas serangan dianggap rendah).
- Red Hat: 5,9 – moderate / 8.1 – advisory file (race condition dianggap sulit dimenangkan).
- Oracle, SUSE: 8.1
- Amazon: 7
Perbedaan ini muncul karena asumsi yang berbeda soal seberapa mudah race condition-nya bisa dimenangkan.
Mitigasinya,
- Debian, Oracle Linux, SUSE, dan Amazon Linux sudah merilis paket kernel yang diperbaiki (setidaknya untuk sebagian kernel).
- Ubuntu dan RHEL belum merilis kernel yang diperbaiki. Red Hat menyebut fix-nya “ditunda ke update mendatang”. Ubuntu masih “work in progress”
Kalau sudah rilis dan instal patch-nya, update kali ini perlu reboot karena ada perubahan pada kernel. Ini bukan update yang bisa aktif tanpa reboot.
Kalau pakai Ubuntu atau RHEL: pantau halaman keamanan vendor. Sampai patch tersedia, tidak ada mitigasi resmi yang direkomendasikan (Red Hat bahkan menyebut tidak ada mitigasi yang memenuhi standar mereka untuk mudah dipasang dan stabil).
Untuk server yang menghadap internet: pastikan multipath TCP listener tidak terbuka kecuali benar-benar diperlukan.
Tulisan kali ini sampai di sini dulu ya. Sampai jumpa. Bye.
Referensi: https://thehackernews.com/2026/10/linux-kernel-tcp-flaw-with-98-cvss.html