Linux çekirdeğindeki açık Go uygulamalarını etkiliyor
Öne çıkanlar
- CVE-2026-98432 açığı Linux çekirdeğinde IPv4 TCP yönetimindeki bellek hatasından kaynaklanıyor.
- Go 1.24 ve üzeri sürümler Linux üzerinde MPTCP desteğini öntanımlı olarak açık tutuyor.
- Geliştiriciler GODEBUG ayarlarıyla protokolü kapatsa da en kesin çözümün çekirdek güncellemesi olduğu bildirildi.
Go Güvenlik Ekibi, Linux çekirdeğindeki IPv4 TCP bağlantı yönetimini etkileyen CVE-2026-98432 kodlu güvenlik açığının Go uygulamalarında uzaktan kod yürütülmesine yol açabildiğini duyurdu. Anthropic tarafından hazırlanan istismar yöntemi, sistemde Multipath TCP dinleyicisi bulunan sunucuların hedef alınabildiğini ortaya koydu. Uzmanlar, çekirdekteki serbest bırakılan belleği kullanma hatasının yalnızca bu protokolle sınırlı kalmayabileceğini ve kesin çözümün yamalanmış bir çekirdeğe geçmek olduğunu bildirdi.
Go 1.24 sürümüyle birlikte Linux ortamında açılan soketlerde MPTCP desteği öntanımlı olarak etkinleştiriliyor. Ekip, geçici bir önlem olarak çalışma zamanında GODEBUG çevre değişkeni veya derleme aşamasında go.mod dosyası üzerinden bu özelliğin kapatılabileceğini açıkladı. Geliştiriciler ayrıca kod içinde soket bazında ayar yaparak özelliği devre dışı bırakabiliyor. Ancak sistemde açıkta kalan tek bir dinleyicinin bile güvenlik zafiyetini sürdüreceği aktarıldı.
Yetkililer, program bazında MPTCP protokolünü kapatmanın kırılgan bir hafifletme yöntemi olduğunu belirterek çekirdek güncellemesini önerdi. Go ekibi, dil düzeyinde öntanımlı davranışları değiştirmek için henüz erken olduğunu kaydetti. Konuya dair ayrıntılı teknik tartışmalar ve geliştirme adımları Go hata takip platformu üzerinden yürütülüyor.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.