bitwire-it/probe-cve-2026-98432Lokaler Kernel-Versionsprüfer, Remote-MPTCP-Fähigkeitsprobe und interaktive Scan-and-Probe-CLI zur Bewertung der Exposition gegenüber der Use-after-free-Schwachstelle im IPv4-TCP des Linux-Kernels (CVSS 9.8).
Werkzeuge zur Erkennung der Exposition gegenüber CVE-2026-98432 — ein Use-after-free im IPv4-TCP des Linux-Kernels (CVSS 9.8), das Kernel von 4.4 bis zu den noch nicht gepatchten Stable-Branches betrifft.
| Datei | Zweck | Voraussetzungen |
|---|---|---|
check-cve-2026-98432.sh | Lokale Prüfung der Kernel-Version — bestätigt gepatcht/verwundbar | Shell-Zugriff (SSH/Konsole) |
probe-mptcp.py | Remote-MPTCP-Fähigkeitsprüfung — erkennt den nachgewiesenen Exploit-Vektor | Python 3.9+, Linux-Kernel ≥ 5.6 auf dem prüfenden Host |
scan-and-probe.sh | Verkettet die nmap-Port-Erkennung mit der MPTCP-Prüfung | nmap + oben Genanntes |
chmod +x check-cve-2026-98432.sh
./check-cve-2026-98432.sh
Exit-Codes: 0 gepatcht, 1 verwundbar, 2 Neustart oder manuelle Prüfung erforderlich.
Einzelner Host, bekannte Ports:
python3 probe-mptcp.py <HOST> <PORT> [PORT ...]
python3 probe-mptcp.py 192.168.1.1 22 443 5060
Einzelner Host, automatische Erkennung aller offenen TCP-Ports mit nmap:
python3 probe-mptcp.py <HOST> $(nmap -Pn --open -p- <HOST> -oG - | grep -oP '\d+/open/tcp' | cut -d/ -f1 | tr '\n' ' ')
Ersetzen Sie beide
<HOST>durch die Ziel-IP.
Mehrere Hosts:
chmod +x scan-and-probe.sh
./scan-and-probe.sh <HOST1> <HOST2> <HOST3>
uname -r mit der ersten korrigierten Version pro Stable-Branch zurück.net.mptcp.enabled und aktive MPTCP-Listener).Öffnet eine standardmäßige TCP-Verbindung, die MPTCP anfordert, und prüft, ob der Server MPTCP ausgehandelt oder auf einfaches TCP zurückgefallen ist.
PLAIN-TCP — Server hat kein MPTCP ausgehandelt; der nachgewiesene Root-Exploit-Vektor fehlt.MPTCP-ACTIVE — Server hat MPTCP ausgehandelt; Expositionsvektor vorhanden.CLOSED — Port gefiltert oder abgelehnt.Sicher: keine IP-Optionen, kein Resend/Race, kein Exploit-Trigger. Es ist ein normaler TCP-Handshake mit dem MPTCP-Fähigkeitsflag.
Einschränkung: PLAIN-TCP bedeutet nicht gepatcht. Es bedeutet, dass der nachgewiesene Vektor geschlossen ist. Die zugrunde liegende Race-Condition existiert in einfachem IPv4-TCP — nur die Kernel-Version bestätigt die Behebung.
| Branch | Erste korrigierte Version |
|---|---|
| 5.10.x | 5.10.272 |
| 5.15.x | 5.15.223 |
| 6.1.x | 6.1.190 |
| 6.6.x | 6.6.159 |
| 6.12.x | 6.12.113 |
| 6.18.x | 6.18.56 |
| 7.2.x | 7.2.10 |
| 7.3+ | Bei Veröffentlichung korrigiert |
sysctl -w net.mptcp.enabled=0
echo 'net.mptcp.enabled=0' > /etc/sysctl.d/90-disable-mptcp.conf
sysctl --system
Dies deaktiviert MPTCP kernelweit und schließt den nachgewiesenen Root-Exploit-Pfad. Kein Neustart erforderlich; bleibt über Neustarts hinweg bestehen. Die meisten Dienste verwenden nie MPTCP, daher ist die funktionale Auswirkung gleich null.
MIT