mitigate-cve-2026-98432

Temporäre Ubuntu/UFW-Mitigation mit Puppet. Verwirft IPv4-TCP-Pakete, die IPv4-Optionen enthalten, nicht gewöhnliche TCP-Optionen.

• Ubuntu CVE-Tracker
• Red Hat RHSB-2026-016: empfiehlt die Filterung von IPv4-TCP/IP-Optionen; unterscheidet ausdrücklich gewöhnliche TCP-Optionen.
• AWS-Sicherheitsbulletin 2026-160: stellt eine iptables-u32-Regel bereit, die IPv4-Header-Längen von 6–15 filtert.
• CIQ-Mitigationshinweis

Installation

Wählen Sie Ihre Variante:

• Wenn stdlib verfügbar ist, verwenden Sie die with-stdlib-Version
• Wenn stdlib nicht verfügbar ist, verwenden Sie die without-stdlib-Version

Deklarieren Sie dann im Node-Katalog:

class { 'mitigate_cve_2026_98432':
  ensure => 'present',
}

Funktionsprüfung:

sudo ufw status verbose
sudo iptables -S INPUT
sudo iptables -S ufw-before-input

Fehlgeschlagene Reloads werden erneut versucht. Deckt nur lokalen IPv4-Verkehr durch diese Kette ab; schließt Loopback aus und sollte Container/VMs nicht beeinträchtigen.

Nach dem Patchen entfernen

Installieren und booten Sie zunächst den korrigierten Kernel und starten Sie das System neu.

Ersetzen Sie für beide Varianten die Deklaration durch:

class { 'mitigate_cve_2026_98432':
  ensure => 'absent',
}