🚨 Ахтунг! Группа Астра просит всех отключить Multipath TCP в Astra Linux. Патчей пока ...
🚨 Ахтунг! Группа Астра просит всех отключить Multipath TCP в Astra Linux. Патчей пока нет, но вы держитесь. Отечественный энтерпрайз в лице Группы Астра расчехлил пачку экстренных бюллетеней (для всех актуальных веток от 1.6 до 1.8 и спецсборок). Полноценного патча пока нет. Всё из-за CVE-2026-98432. Взлом строится через протокол MPTCP (Multipath TCP) и механизм миграции сокетов входящих соединений. Для тех, кто в танке... MPTCP это фича, позволяющая агрегировать несколько сетевых каналов в одно TCP-соединение и бесшовно перекидывать сокеты между интерфейсами. Архитектурно круто, но теперь это технологическое отверстие через которое вас могут... 👌 Астра предлагает рубить функционал топором через параметры ядра. Да, отказоустойчивость и балансировка по нескольким каналам идут по бороде, но это лучше, чем рут-шелл извне. Предлагается следующее: echo "net.mptcp.enabled=0" | sudo tee -a /etc/sysctl.d/mptcp.conf echo "net.ipv4.tcp_migrate_req=0" | sudo tee -a /etc/sysctl.d/mptcp.conf sudo sysctl -p /etc/sysctl.d/mptcp.conf Если у вас на серваке крутится софт, написанный на Go (версии 1.24 и старше), то тот тоже плохие новости... рантайм Go активирует поддержку MPTCP автоматически. Админам предлагается пройтись топором по всем systemd-юнитам в проде и вкорячить туда костыль Environment=GODEBUG=multipathtcp=0. Либо дописывать это в go.mod и пересобирать релизы. Идеальное занятие на выходные 🙂 Если вы сидите на КИИ и sysctl вам мало, то в биллютенях запилен список дополнительных рекомендаций. Чтобы хацкер точно не закрепился: 🟢 Врубить МКЦ (мандатный контроль целостности) на ФС. 🟢 Поднять ЗПС (замкнутую программную среду). 🟢 Загрузить модуль ядра lkrg для защиты пространства памяти. 🟢 Запретить создание файла /dev/mem. 🟢 И... полностью заблокировать интерпретатор bash. Нет работающего баша - нет проблем. БЮЛЛЕТЕНЬ № 2026-1030SE17MD БЮЛЛЕТЕНЬ № 2026-1030SE18MD БЮЛЛЕТЕНЬ № 2026-1030SE47MD БЮЛЛЕТЕНЬ № 2026-1030SE48MD БЮЛЛЕТЕНЬ № 20261030SE16MD БЮЛЛЕТЕНЬ № 2026-1030SE38MD Патч обещают "по мере готовности", так что пока живем без миграции сокетов. Держитесь там, всего хорошего 🫡 Типичный 🟢 Сисадмин
Канал в каталоге Максиметера
2 161 подписчиков · IT и технологии