Linux işletim sistemi çekirdeğinde, uzaktaki ve kimliği doğrulanmamış saldırganların hedef sunucularda en yüksek yetki seviyesi olan “root” haklarıyla rastgele kod çalıştırmasına (RCE) olanak tanıyan kritik bir güvenlik zafiyeti tespit edildi. Anthropic bünyesinde görev yapan siber güvenlik araştırmacıları tarafından geliştirilen konsept kanıtı (PoC) niteliğindeki istismar kodu, Multipath TCP (MPTCP) dinleyicileri çalıştıran modern Linux sistemlerinin doğrudan hedef alınabildiğini ortaya koydu.
MPTCP Mimarisi ve Zafiyetin Teknik Kapsamı
Multipath TCP, standart TCP protokolünün birden fazla ağ arayüzünü (örneğin aynı anda hem Wi-Fi hem de hücresel bağlantı veya çoklu Ethernet portları) eşzamanlı kullanarak veri iletimini optimize eden gelişmiş bir ağ standardıdır. Akış yedekliliği ve bant genişliği artışı sağlamak amacıyla tasarlanan bu teknoloji, özellikle modern bulut altyapılarında, telekomünikasyon sistemlerinde ve yüksek erişilebilirlik gerektiren veri merkezlerinde yaygın olarak yapılandırılmaktadır.
Araştırmacıların sunduğu teknik bulgulara göre zafiyet, çekirdeğin MPTCP bağlantı isteklerini işleme ve bellek bloklarını tahsis etme aşamasındaki bir mantık hatasından kaynaklanıyor. Saldırganlar, özel olarak hazırlanmış TCP paket dizilimlerini dinleme modundaki bir MPTCP soketine ileterek çekirdek bellek alanında taşma veya yetkisiz yazma koşulu oluşturabiliyor. Bu durum, uzaktan sisteme sızmak isteyen bir aktörün herhangi bir kimlik doğrulama aşamasını geçmeden, doğrudan çekirdek seviyesinde komut yürütmesine zemin hazırlıyor.
Kurumsal Sistemler Üzerindeki Risk Faktörleri
Linux çekirdek açığı, CVSS skorlama kriterlerine göre en yüksek tehlike sınıflandırması olan “Kritik” kategorisinde değerlendiriliyor. Saldırının uzaktan tetiklenebilir olması, herhangi bir kullanıcı etkileşimi gerektirmemesi ve doğrudan “root” ayrıcalıklarına ulaşması, tehdidin boyutunu katlayarak artırıyor. Bu açık başarıyla istismar edildiğinde kurumlar şu sonuçlarla karşı karşıya kalabilir:
- Sunucu üzerindeki tüm verilerin yetkisiz olarak dışarı sızdırılması veya geri döndürülemez biçimde silinmesi
- Sistem çekirdeğine gizlenen ve tespit edilmesi son derece güç olan “rootkit” yazılımlarının konuşlandırılması
- Ele geçirilen kurumsal sunucunun bir atlama noktası (pivot) olarak kullanılarak iç ağdaki diğer kritik varlıklara erişim sağlanması
- Sistem genelinde hizmet dışı bırakma (DoS) döngülerinin başlatılması ve operasyonel kesintilerin yaşanması
Tespit ve Altyapıyı Koruma Stratejileri
Zafiyet yalnızca sistemlerinde MPTCP modülü aktif olan ve ağ üzerinde bu protokol üzerinden dinleme gerçekleştiren Linux dağıtımlarını etkilemektedir. Standart Linux kurulumlarında MPTCP her zaman varsayılan olarak açık gelmese de modern çekirdek sürümlerinde (v5.6 ve sonrası) yerel destek mevcuttur ve birçok kurumsal orkestrasyon aracında performans amacıyla aktive edilmektedir.
Sistem ve ağ yöneticilerinin acil olarak atması gereken güvenlik adımları aşağıda listelenmiştir:
- Çekirdek güncellemelerinin gecikmeksizin dağıtılması ve dağıtım sağlayıcılarının yayımladığı güvenlik yamalarının üretim ortamlarına uygulanması
- MPTCP kullanımına kesin bir ihtiyaç duyulmayan sistemlerde bu modülün çekirdek parametreleri üzerinden tamamen devre dışı bırakılması
- Güvenlik duvarları (Firewall) ve saldırı tespit/önleme sistemleri (IDS/IPS) üzerinde olağandışı TCP seçenekleri içeren bağlantı isteklerinin filtrelenmesi
- Ağ dinleme haritalarının kontrol edilerek MPTCP soketlerinin dış internete açık olup olmadığının denetlenmesi
Sonuç olarak bu Linux çekirdek açığı, derinlemesine savunma stratejisinin ve yama yönetim süreçlerinin hayati önemini bir kez daha göstermektedir. Ağ yöneticilerinin sistem loglarını izleyerek şüpheli çekirdek çökmelerini ve bellek ihlallerini yakından takip etmesi tavsiye edilmektedir.