cve-2026-98432-dkms

حزمة DKMS لأوبونتو من أجل ipopt_guard، وهي وحدة نواة تخفف من CVE-2026-98432 عبر إسقاط حزم TCP الخاصة بـ IPv4 التي تحمل خيارات IP. تسجّل خطاف netfilter في كل فضاء أسماء شبكي، لذا لا تحتاج إلى أي إعداد لجدار الحماية ولا تتأثر بـ nft flush ruleset أو firewalld أو ufw.

هذا تخفيف وليس إصلاحًا. أزل الحزمة بمجرد أن تحتوي جميع أنوية النواة المدعومة على الإصلاح القادم من المنبع.

البناء

make

تُكتب حزمة .deb في الدليل الأصلي.

التشغيل

تُحمَّل الوحدة عند التثبيت وعند الإقلاع بواسطة cve-2026-98432-dkms.service، وتُعاد بناؤها بواسطة DKMS من أجل أنوية النواة الجديدة عند تثبيت ترويساتها.

systemctl status cve-2026-98432-dkms              # failed = not protected
cat /sys/module/ipopt_guard/parameters/dropped    # packets dropped
journalctl -k --grep ipopt_guard                  # rate-limited drop log

أنوية النواة المُصلحة

تتخطى DKMS أنوية النواة المدرجة في kernel-is-fixed، وتتخطى الخدمة التحميل عليها. تعمل أنوية النواة المدرجة دون حماية من هذه الحزمة، لذا لا تُدرج نواة إلا بعد التأكد من إصلاحها. أي نواة غير مدرجة تحتفظ بالوحدة.

قبل كل إصدار، قارن الجدول مع https://ubuntu.com/security/CVE-2026-98432. Ubuntu 22.04 و24.04 و26.04 مغطاة.

على Ubuntu 22.04، يطبع dkms autoinstall خطأً لأنوية النواة المتخطاة. هذا غير ضار، إذ تُبلّغ DKMS 2.8.7 عن الاستبعاد بالطريقة نفسها التي تُبلّغ بها عن الفشل. كما أن فشل بناء حقيقي على 22.04 لا يُفشل ترقية النواة، لذا اعتمد على حالة الخدمة لاكتشافه.

القيود المعروفة

• يضبط CIPSO المعامل ireq_opt بنفسه، لذا فإن المواقع التي تستخدمه غير محمية. كما تُسقط الوحدة حركة TCP الموسومة الخاصة بها. أوقف الإسقاط باستخدام echo N > /sys/module/ipopt_guard/parameters/enabled، أو بشكل دائم باستخدام options ipopt_guard enabled=N في /etc/modprobe.d/.
• الإسقاط صامت بالنسبة للمُرسِل: لا يُعاد أي TCP reset أو رسالة ICMP خطأ.
• تحتاج أنظمة Secure Boot إلى تسجيل مفتاح توقيع DKMS، وإلا فلن تُحمَّل الوحدة.