Beste klant/collega,

(Is dit bericht niet goed leesbaar? Bekijk dan de online versie.)

Op vrijdag 30 oktober 2026 heeft er spoedonderhoud plaatsgevonden aan het on-prem “netboot” hosting platform in verband met CVE-2026-98432; een linux kernel probleem met een CVSS score van 9.8 op een schaal van 1 tot 10. Alle servers zijn voorzien van een kernel update en dientengevolge gereboot. In het weekend volgen nog reboots van het icecast platform. Zowel de reeds uitgevoerde als de nog uit te voeren reboots zijn zonder impact voor de afnemers.

Het schema was/is als volgt:

Impact: klein. Bijna alle systemen draaien in een High Availability of Load Balancing setup. Dat betekent dat een individueel systeem gereboot kan worden, zonder dat het impact voor de dienstverlening heeft. Al deze reboots vinden dan ook gedurende kantoortijden of overdag plaats.

Het risico van alle individuele reboots is klein.

De volgende maatregelen zijn genomen:

1. De bulk van de diensten is zodanig ingericht dat er geen single point of faillure is, en dat dus de onderliggende servers gereboot kunnen worden zonder dat dit impact voor de dienst heeft.
2. Deze reboot ronde wordt +/- 1x per jaar uitgevoerd. Dus er is ervaring en eventuele knelpunten zijn bekend.
3. De reboots zijn voorafgaande aan de daadwerkelijke change ook uitgerold in de interne test- en beheeromgevingen, zodat eventuele problemen n een vroeg stadium aan het licht dden kunnen komen. (als ze er geweest waren)
4. Er is een rollback scenario, wat eenvoudig uitgevoerd kan worden indien nodig.

De directe aanleiding voor deze reboot ronde is CVE-2026-98432. Dit is een remote code execution, waarbij de aanvaller bovendien meteen root (=“superuser”) kan worden op het aangevallen systeem, door enkel een TCP connectie te openen naar het aan te vallen systeem.

Het goede nieuws is dat er alleen een bekende exploit is voor diensten die “Multipath TCP” (MPTCP) doen. Dit is een vorm van TCP waarbij 1 TCP datastroom over meerdere netwerk interfaces tegelijkertijd kan lopen, wat performance voordelen kan hebben.

Het netboot platform is gemaakt vanuit de gedachte “wat er niet op zit kan ook niet stuk gaan”. Omdat in onze setting MPTCP niet zoveel toevoegt heeft deze kernel optie in netboot altijd uitgestaan. En daarom heeft het netboot platform dus geen direct risico gelopen voor een MPTCP gebaseerde aanval.

Echter, dat is geen garantie voor 100% veiligheid. In een post op een security mailinglist wordt gesteld dat:

While the demonstrated exploit requires the target system to expose an MPTCP
listener, the underlying bug is not specific to MPTCP. It is possible that
systems with no MPTCP listeners are vulnerable to similar attacks.

Om zoveel mogelijk risico's uit te sluiten hebben we besloten toch het netboot platform zo snel mogelijk te rebooten, wat in de loop van vrijdag 30 oktober dan ook gebeurd is.

Alle icecast servers krijgen nog 1 of 2 dagen respijt. Die worden dit weekend gereboot. Hoewel ze evenveel (of even weinig) risico lopen als de rest van de systemen is het zo dat we deze servers niet kunnen rebooten zonder alle connected luisteraars te disconnnecten. Inplaats daarvan kiezen we ervoor om connecties 24 uur de tijd te geven om uit te sterven (wat vanzelf gebeurt als mensen bv 's avonds hun hardware radio player uitzetten en de volgende ochtend weer aanzetten; ze connecten dan opnieuw, maar potentieel met een andere server). Dit is –denken we– de beste afweging tussen risico en impact.

Tot slot zijn er nog 2 icecast encoders. Deze systemen zijn niet bereikbaar vanaf het internet en lopen in dit geval dus minder risoco. Maar om onvoorziene zaken uit te sluiten worden deze in de loop van komende week ook gereboot. Dit kan om-en-om en lever geen onderbreking van de icecast dienstverlening op.

Team Hosting&Streaming is gedurende het onderhoud via de normale kanalen bereikbaar. Zie de contact pagina