Erkennt CVE-2026-98432 im laufenden Linux-Kernel und wendet den offiziellen korrigierten Kernel nur auf verifizierten Distributionen an (Debian 12/13, Amazon Linux 2/2023). Ubuntu/RHEL nur Erkennung; Rocky/Alma/Oracle/Fedora/SUSE/Arch/Alpine werden identifiziert, aber nicht automatisch korrigiert.
简体中文 | English
Erkennt, ob der aktuell laufende Kernel eines Linux-Servers von CVE-2026-98432 betroffen ist, und installiert auf Distributionen, für die eine Anpassung und Verifikation erfolgt ist, das offizielle Kernel-Reparaturpaket. Das Werkzeug deckt Distributionserkennung, Kernel-zu-Paket-Zuordnung, Schwachstellenstatusbestimmung, Kernel-Installation und Nachprüfung nach der Installation ab; es ändert keine Geschäftskonfigurationen und startet den Server nicht automatisch neu.
Die automatische Behebung deckt nur Debian 12/13 und Amazon Linux 2/2023 ab. Ubuntu, Red Hat Enterprise Linux und CloudLinux werden nur erkannt: Die offiziellen Reparaturpakete für CloudLinux sind bereits veröffentlicht, unterliegen jedoch gestaffelter Auslieferung und Abonnement-Berechtigung; das Werkzeug gibt nur die exakte Version und den Kanal an. Übrige Distributionen werden nur erkannt und mit Informationen ausgegeben, ohne in den Installationsablauf einzusteigen. Den konkreten Status siehe Distributions-Supportmatrix.
Aktuelle Version v1.3.0, Änderungsprotokoll siehe CHANGELOG.md.
| Punkt | Inhalt |
|---|---|
| Nummer | CVE-2026-98432 |
| Komponente | Linux-Kernel-IPv4-Subsystem (tcp_v4_syn_recv_sock, tcp_v4_reqsk_destructor) |
| Typ | Use-after-free |
| Auslösebedingung | Bei gleichzeitiger Verarbeitung von erneut übertragenen TCP-SYNs oder bei aktivierter Request-Socket-Migration über tcp_migrate_req können inet_opt und ireq_opt vor Ablauf der RCU-Grace-Period freigegeben werden |
| Auswirkung | Speicherbeschädigung im Kernel, kann zu Denial-of-Service führen. Der konkrete Auswirkungsbereich und die Ausnutzungsbedingungen richten sich nach den Ankündigungen der jeweiligen Distribution |
| Upstream-Fix | ipv4: free inet_opt and ireq_opt after an RCU grace period, Fix gelangt in 7.2.10, 6.18.56, 6.12.113, 6.1.190 (commit 26d4c36d318c) |
| Veröffentlichungszeitpunkt | 2026-10-15 |
Ob eine Distribution betroffen ist und welche Version die Behebung enthält, richtet sich nach der offiziellen Ankündigung dieser Distribution. Dieses Werkzeug leitet nicht aus Schlussfolgerungen anderer Distributionen ab, schließt nicht aus Upstream-Versionsnummern auf den Behebungsstatus einer Distribution und bewertet weder CVSS-Scores noch die tatsächliche Angriffskomplexität.
ID, VERSION_ID, VERSION_CODENAME aus /etc/os-release und ergänzt distributionsspezifische Informationen (z. B. Oracles UEK-Markierung, die Versionsnummer von Amazon Linux). ID_LIKE wird nicht zur Identitätskollabierung verwendet; Ubuntu wird nicht als Debian behandelt, Rocky Linux, AlmaLinux und Oracle Linux werden nicht als RHEL behandelt.uname -m (x86_64 wird als amd64, aarch64 als arm64 geführt) und gleicht es anschließend mit der vom Paketmanager gemeldeten Architektur ab; bei Abweichung wird UNKNOWN festgestellt.--report erzeugt Erkennungsergebnis und Begründung, --list-distros gibt die Supportmatrix aus.kernel-lts-Stream); Identifikation unterstützt Rocky Linux, AlmaLinux, Oracle Linux, Fedora, openSUSE Leap, SUSE Linux Enterprise, Arch Linux, Alpine Linux. Liegt die Distributionsversion außerhalb des Anpassungsbereichs, wird UNSUPPORTED zurückgegeben.--list-distros kann von einem normalen Benutzer ausgeführt werden.awk, sed, grep, tar, find; die distributionsspezifischen Paketmanagement-Werkzeuge (dpkg/apt-get/apt-cache, rpm/dnf/yum, apk, pacman, zypper); der Bootstrap-Installer benötigt zusätzlich curl und sha256sum (oder shasum).curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash
install.sh ist der Bootstrap-Installer und verändert das System selbst nicht: Er lädt das Quellarchiv des entsprechenden Tags in ein temporäres Verzeichnis herunter, entpackt es und liest anschließend SHA256SUMS aus dem Release, um fix.sh, install.sh, lib/*.sh, adapters/*.sh und data/*.yml einzeln zu verifizieren. Erst wenn alle Prüfungen bestanden sind, wird fix.sh mit denselben Parametern ausgeführt. Nach Abschluss der Erkennung wird der Reparaturplan angezeigt; der Kernel wird erst installiert, nachdem mit Eingabe von Y bestätigt wurde. Die Bestätigungsabfrage wird von /dev/tty gelesen, sodass auch bei Ausführung über eine Pipe eine normale Interaktion möglich ist; sudo kann zur Eingabe eines Passworts auffordern.
Die Verifikation folgt dem Fail-closed-Prinzip: Fehlt SHA256SUMS oder ist sie leer, deckt die Liste nicht alle Skripte ab, stimmt der Hash einer Datei nicht überein, enthält das Archiv absolute Pfade oder .., oder fehlen im System sowohl sha256sum als auch shasum, so wird nach dem Entpacken oder vor der Ausführung abgebrochen, und es wird kein Tool-Code ausgeführt. SHA256SUMS und das Quellpaket stammen aus demselben Repository und verfügen über keine unabhängige digitale Signatur; dies ist daher nicht mit einer Signaturprüfung gleichzusetzen. Vor dem Einsatz in einer Produktionsumgebung wird weiterhin empfohlen, die Skripte zunächst herunterzuladen und selbst zu prüfen.
curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash -s -- --check
Liest nur den Systemstatus, aktualisiert keinen Paketindex, installiert keine Softwarepakete und ändert keine Konfiguration. --check beschränkt sich auf die Erkennungs- und Reparaturphase und beeinflusst nicht das Download-Verhalten von install.sh selbst. Wenn der lokale Paketindex leer ist, wird die Kandidatenversion als unbekannt angezeigt, und Sie müssen zuerst selbst apt-get update oder dnf makecache ausführen.
curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash -s -- --yes
--yes überspringt nur Bestätigungsaufforderungen, nicht die Distributions-Whitelist, die Advisory-Verifikation und die Versionsprüfung. Bei Nicht-Whitelist-Distributionen wird der Installationsvorgang auch bei Angabe von --yes nicht gestartet.