Peter Bui explica cómo una vulnerabilidad de Linux podría afectar a los stake pools de Cardano

Peter Bui, presentador de Learn Cardano y operador del stake pool ADAOZ, ha examinado cómo una vulnerabilidad del kernel de Linux podría afectar a los servidores que usan los operadores de stake pools de Cardano.

En un nuevo video, Bui explica los roles de los relays y los productores de bloques, las consecuencias de perder la conexión de un pool con la red, y la diferencia entre la infraestructura de un operador y el ADA en manos de los delegadores.

Su análisis sigue a un aviso de Intersect que pide a los operadores que revisen sus servidores en busca de la vulnerabilidad, identificada como CVE-2026-98432, y actualicen los sistemas afectados cuando haya correcciones disponibles.

Cómo una vulnerabilidad de Linux podría interrumpir un stake pool de Cardano

El fallo afecta la forma en que el kernel de Linux maneja ciertas solicitudes de red. Linux se usa en muchos tipos de servidores, incluida la infraestructura de la que dependen los stake pools para comunicarse con Cardano y producir bloques.

Bui describe un error de temporización que puede ocurrir mientras se establece una conexión TCP. En ciertas condiciones, una parte del kernel puede liberar memoria mientras otra parte aún la está usando. El error, conocido como use-after-free, puede provocar una caída del sistema o corrupción de memoria.

El equipo de seguridad del kernel de Linux rastrea el problema hasta un cambio introducido en la versión 4.4. Se han añadido correcciones a las ramas mantenidas del kernel, mientras que la disponibilidad para servidores individuales depende de su distribución y paquete de kernel.

Un stake pool suele usar un productor de bloques para crear bloques cuando es seleccionado y uno o más relays para comunicarse con otros nodos de Cardano. Bui se centra en los relays porque aceptan conexiones de red y pueden estar expuestos si ejecutan una configuración afectada.

Si todos los relays de un pool quedaran fuera de servicio, su productor de bloques podría perder la conexión con el resto de la red. Bui explica que el productor aún podría crear un bloque programado, pero no podría transmitir ese bloque mientras la ruta de comunicación estuviera caída.

Qué podría significar un ataque para el ADA delegado

Bui también considera un escenario en el que un atacante toma control de un relay. Como el relay se comunica con el productor de bloques, el atacante podría aprender información sobre esa conexión, incluida la dirección de red del productor.

Esa información no proporcionaría automáticamente acceso al productor de bloques. Bui lo presenta como un posible punto de partida para un ataque posterior, cuyo resultado depende de cómo el operador haya configurado y protegido la infraestructura. Habla de la interrupción del productor y, en un escenario más grave, del compromiso de sistemas o claves controlados por el operador.

La distinción es importante para quienes delegan ADA. La delegación permite que un stake pool use la participación de un titular en el proceso de selección de bloques de la red, pero el ADA permanece en la billetera del titular. Un pool comprometido no daría automáticamente a un atacante control sobre los fondos de sus delegadores.

Un pool que no puede publicar bloques programados puede, sin embargo, perder oportunidades de producción de bloques, lo que puede afectar las recompensas de staking. En el momento de la grabación, Bui no había visto informes de que un stake pool de Cardano fuera atacado a través de esta vulnerabilidad.

[NEWSBREAK]

La demostración de Anthropic y las correcciones disponibles

Bui también analiza una investigación de Anthropic, que informó que su modelo Claude desarrolló un exploit para la vulnerabilidad de Linux. Anthropic describió una demostración en la que un atacante remoto podía ejecutar comandos con privilegios de root en un servidor con un Multipath TCP listener, sin credenciales ni interacción del usuario.

Multipath TCP, o MPTCP, es una extensión que permite que una conexión use múltiples rutas de red. La ruta demostrada por Anthropic involucró un servidor con ese listener. El hallazgo no establece que el mismo exploit funcione contra todos los nodos de Cardano afectados.

La vulnerabilidad en sí reside en el manejo de red de Linux y no se limita al software de Cardano. Ubuntu la lista con una puntuación CVSS 3.1 de 9.8 sobre 10, clasificada como crítica según ese sistema de puntuación, y asigna al problema una prioridad alta.

Intersect aconsejó a los operadores revisar los kernels tanto de sus productores de bloques como de sus relays, instalar un kernel actualizado cuando su distribución lo proporcione y reiniciar para que surta efecto. El aviso de Ubuntu enumeró correcciones en progreso para varios paquetes estándar del kernel, con un estado que varía según la versión y el paquete.

Bui menciona desactivar MPTCP donde no sea necesario y filtrar ciertos paquetes IPv4 como medidas temporales para reducir la exposición. Esos pasos no corrigen el fallo del kernel. La solución permanente es un kernel actualizado para el sistema afectado.