johnhsb/linux-tcp-uaf-cve-2026-98432CVE-2026-98432 (استخدام الذاكرة بعد التحرير UAF في Linux IPv4 TCP inet_opt): نص تشخيصي للقراءة فقط، وتخفيفات nftables/sysctl دون إعادة تشغيل، ونشر عبر Ansible ودليل استجابة (بالإنجليزية/الكورية)
مجموعة استجابة لـ CVE-2026-98432، وهي ثغرة تتعلق بسلامة الذاكرة في الشيفرة التي تستخدمها نواة Linux لإعداد اتصالات TCP. تحتوي على ثلاثة أشياء:
iptables المثبّت افتراضيًا، أو nftables حيث يكون iptables مفقودًا)، وملفات إعدادات النواة (sysctl) ودفاتر Ansible، وكلها تُطبَّق دون إعادة تشغيل. الوضع الافتراضي يكتفي بإحصاء الحزم فقط.كُتب اعتبارًا من 2026-11-03. كل تخفيف هنا مؤقت ولا يُغني عن إصلاح النواة. جدوِل تحديث النواة وإعادة التشغيل (أو livepatch) بشكل منفصل.
| README | الدليل | السكربت التشخيصي | |
|---|---|---|---|
| 🇺🇸 الإنجليزية (افتراضي) | README.md | cve-2026-98432-guide.en.md | check_cve_2026_98432.sh |
| 🇰🇷 한국어 | README.ko.md | cve-2026-98432-guide.ko.md | check_cve_2026_98432_ko.sh |
iptables المثبّت افتراضيًا ولا تحتاج إلى إعادة تشغيل. وللأمان، تبدأ بالإحصاء فقط؛ انتقل إلى الإسقاط بعد التأكد من عدم تأثر أي حركة مرور مشروعة.يمكن أن يحمل ترويسة IP لطلب اتصال TCP — نادرًا — حقولًا إضافية تُسمى خيارات IPv4. تحتفظ النواة بهذه الخيارات في الذاكرة أثناء إعداد الاتصال. وعند التنظيف، حرّرت تلك الذاكرة فورًا، رغم أن نواة معالج أخرى قد لا تزال تقرأها.
يُسمى استخدام الذاكرة بعد تحريرها use-after-free (UAF). وإذا وُضع شيء آخر هناك في هذه الأثناء، تقرأ النواة بيانات خاطئة، مما قد يؤدي إلى:
| البند | التفصيل |
|---|---|
| المتأثر | Linux 4.4 وأحدث، قبل الإصدار المُصلح لكل فرع. IPv6 غير متأثر |
| الخطورة | CVSS 9.8 (حرجة) من Kernel CNA وRed Hat وUbuntu. تصنّفها SUSE وAmazon وOracle بـ 8.1، لأن الفوز بسباق التوقيت بين المعالجات صعب |
| السبب الجذري | حُرّرت الذاكرة دون انتظار فترة التحرير الآمن في النواة (RCU grace period). الإصلاح في المنبع: commit e3f33b0a1d89 (kfree → kfree_rcu) |
| إصدارات النواة المُصلحة | 5.10.272، 5.15.223، 6.1.190، 6.6.159، 6.12.113، 6.18.56، 7.2.10، 7.3 أو أحدث — بالنسبة لنوى التوزيعات، تحقق من تضمين الإصلاح، لا من رقم الإصدار |
الاستغلال: اعتبارًا من 2026-11-03 لم تكن الثغرة مدرجة في CISA KEV (كتالوج الثغرات المعروف استغلالها فعليًا)، ولم تُبلَّغ أي هجمات في العالم الحقيقي. تدّعي العديد من مستودعات GitHub أنها "PoCs"؛ ولا شيء منها مُتحقَّق منه — لا تشغّلها على شبكات الإنتاج.
النوى المُصلحة حسب التوزيعة (الإصدارات والمصادر في الدليل §2.2)
| التوزيعة | الحالة |
|---|---|
| RHEL 8 / 9 / 10 | ✅ نوى مُصلحة صدرت في 2026-11-01 (RHSA-2026:93414 / 93412 / 93413). عُقد OpenShift (RHCOS) لم تُصلَح بعد |
| Debian 12 / 13 | ✅ مُصلحة (DSA-6568-1، DLA-4841-1، DLA-4850-1) |
| Amazon Linux 2 / 2023 | ✅ مُصلحة. يتم طرح صور AMI المُحسَّنة لـ EKS/ECS وFargate وBottlerocket تدريجيًا |
| Rocky Linux (CIQ RLC Pro / LTS) | ✅ كل نسخة مدعومة من CIQ مُصلحة. بالنسبة لـ Rocky المجتمعية، راجع Rocky Errata |
| Ubuntu 22.04 / 24.04 / 26.04 / 26.10 | ⏳ قيد التنفيذ ("work in progress" اعتبارًا من 2026-11-03) |
| Ubuntu 16.04 / 18.04 / 20.04 | ⏳ انتهى الدعم القياسي — الإصلاحات متوقعة لمشتركي Ubuntu Pro (ESM) فقط |
| SUSE، Oracle Linux، AlmaLinux، … | تم الإبلاغ عن إصلاحات — راجع إشعار كل بائع على حدة |
يعطيك سكربت التشخيص في 4. ما الذي يجب فعله الآن الحكم الدقيق. وكدليل تقريبي:
لكي ينجح الهجوم، ① يحتاج الخادم إلى نواتَي معالج (CPU) على الأقل (يجب أن تلمس نواتان الذاكرة نفسها في اللحظة نفسها)، و② يجب أن تصل حزمة المهاجم إلى الخادم مع بقاء خيارات IPv4 سليمة.
| # | إذا كان الخادم… | الخطر | ما يجب فعله |
|---|---|---|---|
| 1 | داخل VPC داخلي أو عقدة Kubernetes، متعدد النوى، مع مستمع MPTCP (بما في ذلك داخل الحاويات) | 🔴 صلاحيات جذر عن بُعد | طبّق قاعدة الجدار الناري وsysctl الآن، ورقّع نوى العُقد. بعض شبكات Kubernetes (شبكات CNI القائمة على eBPF) تتجاوز جدار الحماية المضيف، لذا يأتي الترقيع أولًا |
| 2 | على IP عام أو خلف موازن حمل L4 (AWS NLB، …) مع مستمع MPTCP | 🔴 صلاحيات جذر عن بُعد | طبّق قاعدة الجدار الناري وsysctl الآن |
| 3 | متعدد النوى مع خدمات TCP عادية فقط | 🟠 تعطّل عن بُعد | طبّق قاعدة الجدار الناري (sysctl وحده لا يكفي) |
| 4 | معالج واحد (vCPU واحدة) | 🟡 نجاحه مستبعد جدًا | أدرجه في دورة الترقيع العادية |
| 5 | يمكن الوصول إليه فقط عبر وكيل L7 (AWS ALB، CloudFront، Cloudflare، …) مع وصول داخلي مُتحكَّم فيه | 🟡 حزم الهجوم لا تصل أبدًا | رقّع للدفاع ضد المهاجمين الداخليين |
⚠️ لا تستنتج "لا يوجد مستمع MPTCP، إذن نحن آمنون." تقول Red Hat إن التحقق من مستمعي MPTCP هو "معلومة للاسترشاد وليس طمأنة." فبدون MPTCP يظل التعطّل ممكنًا، ولا يمكن استبعاد طريقة استغلال أخرى لا تحتاج إلى MPTCP. كذلك، على نوى عائلة RHEL 8 قد يُظهر
ss -Mمستمعي MPTCP كـ TCP عادي.
💡 L4 مقابل L7: يُنهي وكيل L7 اتصال TCP الخاص بالعميل ويفتح اتصالًا جديدًا إلى خادمك، لذا لا تصل خيارات IPv4 الخاصة بالمهاجم إليه أبدًا. أما موازن الحمل L4 (مستمعو TCP في AWS NLB، وGlobal Accelerator، وPrivateLink، وVPC Lattice، …) فيمرّر الحزم دون تغيير، وهو ما يعادل تعريض الخادم مباشرة.
سكربت للقراءة فقط يتحقق من حالة الترقيع والتخفيفات ومدى التعرّض (بما في ذلك الحاويات) ويخبرك بمستوى الخطر.
sudo bash check_cve_2026_98432.sh
لعرض منطق الحكم:
sudo bash check_cve_2026_98432.sh --verbose
0 تم الترقيع أو التخفيف · 10 إجراء مطلوب · 1 خطأ · 2 خيار غير صالحuname -r. فكثيرًا ما تنسخ التوزيعات الإصلاحات إلى نوى أقدم مع الاحتفاظ برقم الإصدار (backporting)، لذا يتحقق السكربت من ما إذا كانت هذه الثغرة CVE مسجّلة في سجل تغييرات حزمة النواة أو في قائمة livepatch.--online من apt changelog.--no-netns فحوصات شبكة الحاوية.