Go programları Linux çekirdeğindeki güvenlik açığı nedeniyle risk altında bulunuyor
Öne çıkanlar
- Linux çekirdeğindeki CVE-2026-98432 açığı MPTCP dinleyicileri üzerinden uzaktan kod yürütmeye izin veriyor.
- Go 1.24 sürümü Linux ortamında dinleme soketleri için MPTCP protokolünü varsayılan olarak etkinleştirdi.
- Go Güvenlik Ekibi geçici yapılandırmalar yerine doğrudan yamalanmış Linux çekirdeğine geçilmesini önerdi.
Go Güvenlik Ekibi, Linux çekirdeğinde tespit edilen CVE-2026-98432 kodlu güvenlik açığının Go programlarını etkileyebileceğini duyurdu. Linux çekirdeğindeki IPv4 TCP bağlantı yönetiminde yer alan serbest bırakılan belleğin yeniden kullanımı hatası, Multipath TCP dinleyicileri çalıştıran sunucularda uzaktan kod yürütme riskine yol açtı. Go 1.24 sürümüyle birlikte Linux ortamında dinleme soketleri için Multipath TCP desteğinin varsayılan olarak açık gelmesi, sistemleri bu saldırı senaryosuna açık hale getirdi.
Ekip, geliştiricilerin çalışma zamanında GODEBUG çevre değişkeniyle veya derleme aşamasında go.mod dosyasını düzenleyerek bu protokolü devre dışı bırakabileceğini açıkladı. Geliştiriciler ayrıca soket bazında kod içinde de bu protokolü kapatabiliyor. Ancak güvenlik ekibi, bu tür yazılım düzeyindeki geçici çözümlerin kırılgan olduğunu, tek bir dinleyicinin bile açık kalmasının tüm sistemi savunmasız bırakacağını ve açığın yalnızca MPTCP protokolüyle sınırlı olmayabileceğini belirtti.
Go ekibi, güvenlik açığına karşı Go tarafında varsayılan ayarları değiştirmenin henüz erken olduğunu bildirdi. Riskten tamamen kurtulmanın en kesin ve etkili yolunun Linux çekirdeğini güncellenmiş ve yamalanmış bir sürüme yükseltmek olduğu aktarıldı. Konuya ve olası yanıtlara ilişkin teknik tartışmaların proje takip sistemi üzerinden sürdürüleceği kaydedildi.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.