CVE-2026-98432 – Scanner für Use-After-Free-Schwachstelle im IPv4-TCP-Stack des Linux-Kernels

Ein Netzwerk-Audit-Tool für Windows und Windows Server, das entfernte Linux-Hosts auf CVE-2026-98432 prüft – eine kritische Schwachstelle für Remote-Code-Execution (RCE) und Kernel-Denial-of-Service im IPv4-TCP-Netzwerkstack des Linux-Kernels.

Schwachstellenübersicht

Metrik	Details
CVE-ID	CVE-2026-98432
Schwachstellentyp	Use-After-Free (UAF) / Race Condition (CWE-416)
CVSS-v3.1-Score	9.8 (Kritisch) – `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
Betroffene Komponente	IPv4-Netzwerkstack des Linux-Kernels (`net/ipv4/tcp_ipv4.c`, `net/ipv4/af_inet.c`)
Betroffene Versionen	Linux-Kernel-Versionen 4.4 und später (vor den gepatchten Releases)
Ausnutzungsvektor	Nicht authentifizierter Angreifer aus dem Netzwerk, der manipulierte IPv4-TCP-SYN-Pakete mit IP-Optionen sendet
Auswirkung	Remote Code Execution (RCE) im Kernel-Space, Systemabsturz (Kernel Panic / DoS), Speicherbeschädigung

Technische Ursache

Während eines eingehenden IPv4-TCP-Drei-Wege-Handshakes (SYN-Paket):

Wenn die TCP-Verbindungsanfrage IPv4-Optionen enthält (inet_opt und ireq_opt), speichert der Linux-Kernel eine Kopie dieser Optionen in einer Struktur für ausstehende Verbindungsanfragen, um sie in der SYN-ACK-Antwort zurückzuspiegeln.
Wenn der Handshake abgeschlossen ist, wird die Eigentümerschaft der Optionsstruktur auf den neu erstellten untergeordneten Socket übertragen, ohne dass sie dupliziert wird.
In anfälligen Kerneln gaben Destruktoren (inet_sock_destruct() und tcp_v4_reqsk_destructor()) diese Optionen sofort mit einem synchronen kfree() frei.
Unter Race-Conditions (etwa bei SYN-Retransmissionen oder der Migration von Request-Sockets zwischen CPU-Kernen) kann ein anderer CPU-Kern die Optionsstruktur lesen, während sie freigegeben wird, was eine Use-After-Free-(UAF)-Bedingung auslöst.

Da dieser Code innerhalb des TCP-Stacks des Kernels ausgeführt wird, bevor eingehender Datenverkehr die User-Space-Anwendungen erreicht, setzt jeder lauschende IPv4-TCP-Port auf dem Server den Kernel einer möglichen Remote-Ausnutzung aus.

Gepatchte Kernel-Versionen

1. Upstream-Stable-Releases

Die Schwachstelle wurde upstream von Eric Dumazet behoben (Commit e3f33b0a1d89: „ipv4: free inet_opt and ireq_opt after an RCU grace period“). Mindestversionen mit Patch:

5.10-Zweig: 5.10.272 oder später
5.15-Zweig: 5.15.223 oder später
6.1-Zweig: 6.1.190 oder später
6.6-Zweig: 6.6.159 oder später
6.12-Zweig: 6.12.113 oder später
6.18-Zweig: 6.18.56 oder später
7.2-Zweig: 7.2.10 oder später
7.3-Zweig: 7.3.0 oder später

2. Wichtige Linux-Distributionen

Ubuntu 24.04 LTS: Behoben im Paket linux ab Version 6.8.0-149.149
Ubuntu 22.04 LTS: Behoben im Paket linux ab Version 5.15.0-203.213
Ubuntu 26.04 LTS: Behoben im Paket linux ab Version 7.0.0-43.43
Ubuntu 26.10: Behoben im Paket linux ab Version 7.3.0-10.10
RHEL 8 / 9 / 10 & AlmaLinux / Rocky Linux: Behoben über Hersteller-Sicherheitshinweise (RHSA / ALSA)

Tool-Architektur & Funktionen

Der Scanner ermöglicht eine nicht-destruktive, sichere Überprüfung von jeder Windows-Workstation oder jedem Windows-Server aus:

Schritt 1: Netzwerkerreichbarkeit (ICMP-Ping): Bestätigt die Verfügbarkeit des Hosts und das Netzwerk-Routing.
Schritt 2: Hochgeschwindigkeits-Audit der TCP-Port-Exposition: Verwendet nicht-blockierende asynchrone .NET-Sockets, um standardmäßig exponierte TCP-Ports zu testen (SSH 22, HTTP 80, HTTPS 443, Alt HTTP 8080/8443, MySQL 3306, PostgreSQL 5432, Redis 6379). Jeder offene IPv4-TCP-Port zeigt an, dass der TCP-Stack des Kernels aktiv Pakete empfängt und verarbeitet.
Schritt 3: Remote-Audit der SSH-Kernelversion und Patches: Verbindet sich über natives Windows OpenSSH (ssh.exe), um uname -r, /etc/os-release und aktive Firewall-Mitigationen sicher abzufragen, ohne störende Exploit-Payloads auszuführen.
Urteils- und Bewertungs-Engine:
- VULNERABLE: Der Host führt eine betroffene Kernelversion ohne den Fix aus.
- SECURE / PATCHED: Der Host führt eine gepatchte Kernelversion aus.
- MANUAL VERIFICATION: Ein benutzerdefinierter oder herstellerspezifischer Backport erfordert eine manuelle Prüfung.

Verwendung

Option 1: Interaktive Ausführung (empfohlen)

Doppelklicken Sie auf check_cve_2026_98432.bat oder führen Sie es über die CMD aus:

.\check_cve_2026_98432.bat

Sie werden aufgefordert:

Die IP-Adresse des Ziel-Linux-Servers einzugeben (z. B. 192.168.1.100).
Die Bewertung der Port-Exposition anzuzeigen.
Optional eine Authentifizierung per SSH durchzuführen, um den genauen Kernel-Build zu verifizieren.

Option 2: PowerShell-Befehlszeile

Vollständiges Netzwerk- + SSH-Audit:

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SshUser "admin"

Benutzerdefinierter SSH-Port:

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SshPort 2222 -SshUser "ubuntu"

Nur Netzwerkport-Exposition (SSH-Authentifizierung überspringen):

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SkipSsh

Leitfaden zur Behebung und Abschwächung

1. Dauerhafte Behebung (Kernel-Upgrade)

Wenden Sie offizielle Sicherheitsupdates aus dem Repository Ihrer Distribution an und starten Sie den Server neu:

Ubuntu / Debian:

sudo apt update
sudo apt --only-upgrade install linux-image-generic
sudo reboot

RHEL / AlmaLinux / Rocky Linux / CentOS:
```
sudo dnf update kernel
sudo reboot
```
Arch Linux:
```
sudo pacman -Syu linux
sudo reboot
```
Aktuell laufenden Kernel überprüfen:
```
uname -r
```

2. Temporäre Firewall-Abschwächung (falls ein sofortiger Neustart nicht möglich ist)

Die Schwachstelle erfordert TCP-Pakete, die IPv4-Optionen enthalten. Wenn Sie nicht sofort neu starten können, verwerfen Sie alle eingehenden TCP-Pakete mit IPv4-Optionen mit iptables:

# Insert rule at top of INPUT chain
sudo iptables -I INPUT 1 -p tcp -m ipv4options --any-opt -j DROP

# Persist the rule (Debian/Ubuntu)
sudo iptables-save | sudo tee /etc/iptables/rules.v4

# Persist the rule (RHEL/CentOS)
sudo service iptables save

(Hinweis: Standard-Internet-TCP-Verkehr nutzt selten IPv4-Optionen, sodass deren Verwerfen in der Regel keine Störung für Standard-Web-, SSH- oder Datenbank-Workloads verursacht).

CVE-2026-98432-scan

Beliebteste