CVE-2026-98432 nft-Mitigation

Agent-Skill, die die vorläufige Host-Mitigation für die Linux-Kernel-Schwachstelle CVE-2026-98432 (CVSS 9.8) anwendet, verifiziert, dauerhaft einrichtet und später wieder entfernt: eine einzelne nftables-Regel, die TCP-Pakete mit IPv4-Optionen verwirft — die einzige Eingabe, die den inet_opt/ireq_opt-Use-after-free in tcp_v4_syn_recv_sock() erreicht.

Kontext, den man kennen sollte: Anthropics Frontier Red Team hat öffentlich einen funktionierenden PoC von unauthentifiziert bis root gegen Server beschrieben, die einen MPTCP-Listener exponieren (Okt. 2026); keine Ausnutzung in freier Wildbahn gemeldet. Die Kernel-CNA bewertet mit 9.8; Upstream und Red Hat bewerten mit 8.1 (Angriffskomplexität hoch). Der Hersteller-Fix sind Backports der Ubuntu-Kernel-Klasse 6.8.0-149 — bis der laufende Kernel den Fix enthält, ist diese Regel die Überbrückungslösung. Sie ist auf ein einziges Feld eines einzigen Headers eines einzigen Protokolls beschränkt, sodass normaler Traffic unberührt bleibt.

Diese Regel ist nicht neu — behandle sie als paketierte Vorarbeiten. Siehe „Vorarbeiten" unten; der Beitrag dieses Repos ist die reproduzierbare Agent-Skill-Form plus die Produktions-Fallstricke.

Inhalt

Pfad	Was
`SKILL.md`	Die Skill — Frontmatter-Trigger, Ruleset, Prüfungen, Persistenz, Fallstricke, Entfernung
`files/cve98432.nft`	Kopierfertiges nftables-Ruleset (prerouting, Priorität −300)
`files/nft-cve98432.service`	Kopierfertige systemd-Unit (Persistenz)

Installation (Agent-Skill)

cp -R cve-2026-98432-nft-mitigation ~/.claude/skills/     # Claude Code
cp -R cve-2026-98432-nft-mitigation ~/.agents/skills/     # agents-style runtimes

Das description-Frontmatter ist die Discovery-Oberfläche: Agenten wählen diesen Skill aus, wenn sie aufgefordert werden, CVE-2026-98432 zu mitigieren, den „TCP/IP-Fix“, den Kernel-IPv4-Options-UAF, oder die Mitigation zu entfernen, nachdem der Vendor-Kernel ausgeliefert wurde.

Vor der Anwendung — drei Prüfungen

Ist der laufende Kernel bereits gepatcht? Backports ändern Versionsnummern — prüfe das Changelog des Kernels, den du tatsächlich ausführst:
```
zgrep -c CVE-2026-98432 /usr/share/doc/linux-modules-$(uname -r)/changelog.Debian.gz   # Debian/Ubuntu
rpm -q --changelog kernel-core-$(uname -r) | grep -c CVE-2026-98432                     # RHEL/Rocky/Alma
```
> 0 = festgelegt, überspringe die Mitigation. (Prüfe auch deinen Vendor-Tracker; und apt-cache policy linux-image-generic für einen installierten, aber nicht gebooteten neueren Kernel.)
MPTCP-Listener (ss -lnMp): Der veröffentlichte PoC zielt auf sie ab, und Go ≥ 1.24 lauscht standardmäßig mit MPTCP auf Kerneln, die dies erlauben. sysctl net.mptcp.enabled=0 betrifft nur neue Sockets — bereits geöffnete Listener behalten MPTCP, bis ihr Dienst neu gestartet wird (GODEBUG=multipathtcp=0 laut dem Go-Team).
CIPSO-gelabelte Netzwerke: Wenn cat /sys/kernel/security/lsm SELinux oder Smack auflistet und du NetLabel-CIPSOV4-Mapping verwendest, sind IPv4-Optionen dort legitim — diese Regel würde diesen Pfad brechen. Nicht auf CIPSO-gelabelten Netzwerken anwenden (RFC 7126 diskutiert den Kompromiss).

Verwendung (Root erforderlich)

Installiere files/cve98432.nft und files/nft-cve98432.service.
nft -c -f /usr/local/sbin/cve98432.nft — Parse-Prüfung; erfordert Root (als Nicht-Root schlägt es bei netlink fehl: cache initialization failed).
systemctl daemon-reload && systemctl enable --now nft-cve98432.service
Starte die Unit zweimal neu — Idempotenz-Nachweis. Die Zeile destroy table … muss die erste Zeile der Datei sein: ans Ende angehängt erstellt sie die Tabelle und zerstört sie dann, wodurch ein leeres Ruleset zurückbleibt, während der Dienst trotzdem mit 0 beendet wird.
nft list table inet cve98432 muss meta l4proto tcp ip hdrlength > 5 counter drop auf einer Chain mit priority -300 anzeigen (vor conntrack, entsprechend der veröffentlichten Regel).
Koexistenz: Eine benutzerdefinierte table inet … gehört nicht iptables, daher lassen iptables-restore / ufw / firewalld-Tooling sie unangetastet (führe dein Restore einmal aus und liste erneut auf, um dies zu bestätigen).

Entfernung nach Installation und Neustart des festgelegten Kernels: Abschnitt 7 von SKILL.md.

Container: Die Regel muss auch in deren netns leben

Der nftables-Zustand ist pro Netzwerk-Namespace. Host-Regeln sehen den Container-Traffic nur dort, wo er den Host überquert (z. B. Container → außen); Traffic, der innerhalb des eigenen Namespace des Containers bleibt (Container → eigenes Loopback/IP), durchläuft niemals das prerouting des Hosts — dennoch wird der Kernel geteilt, sodass Code innerhalb eines Containers die UAF lokal weiterhin erreichen kann. Injiziere dasselbe Ruleset in jeden laufenden Container:

# Docker (host-side nsenter keeps the needed capabilities)
for c in $(docker ps -q); do
  pid=$(docker inspect -f '{{.State.Pid}}' "$c")
  nsenter -t "$pid" -n /usr/sbin/nft -f /usr/local/sbin/cve98432.nft
done
# LXC (privileged CLI as root)
for c in $(lxc-ls -1 2>/dev/null); do lxc-attach -n "$c" -- nft -f /usr/local/sbin/cve98432.nft; done

Container-Namespaces persistieren nft-Regeln nicht — bei jedem Container-Neustart erneut ausführen (in den Post-Start-Schritt Ihres Orchestrators einbinden). Vorarbeiten zu genau dieser Lücke, mit Skripten: typhoon1217/cve-2026-98432-mitigation (inject-netns.sh).

Überprüfen des Drops (Client-Seite)

Standard-Sockets genügen — kein Packet-Crafting auf dem Server: Ein Client setzt eine IPv4-Record-Route-Option über setsockopt(IP_OPTIONS) und verbindet sich; ein einfacher Connect gelingt, der Options-Connect muss in einen Timeout laufen, während der Zähler der Regel hochzählt. Fertige Clients: check-blocked.py / verify-synack.sh in typhoon1217/cve-2026-98432-mitigation. Einschränkung aus diesem Projekt: Ein Client, der die Mitigation selbst ausführt, verwirft auch die SYN-ACK-Echos des Ziels — testen Sie von einem nicht mitigierten Client aus für ein sauberes Ergebnis.

Warum diese Regel

Die UAF ist nur über TCP-Segmente erreichbar, deren IPv4-Header Optionen trägt (IHL > 5); RFC 7126 empfiehlt Routern/Firewalls bereits, Record-Route/Timestamp-Optionen zu verwerfen, daher bricht dies nichts Reales.
prerouting bei priority -300: vor conntrack, sodass verworfene Pakete niemals conntrack-Status erzeugen — und, anders als input, deckt es auch an Container/VMs weitergeleiteten Verkehr ab, der den Host durchquert.
Die Match-Semantik ist selbstverifizierend: nft normalisiert ein rohes @nh,4,4 > 5 zu ip hdrlength > 5 — das IHL-Feld, bestätigt durch das Tool selbst.

Vorarbeiten (lesen Sie diese)

RFC 7126 — Filtern von IPv4-Paketen, die IPv4-Optionen enthalten
typhoon1217/cve-2026-98432-mitigation — dieselbe Drop-Regel + Container-Netns-Injection, CIPSO-Einschränkung, Verifikations-Clients (EN/KO)
getrff.com-Blog (29. Okt. 2026) — dieselbe Regel bei Priority −300, MPTCP-Prüfungen, Fleet-Scripting
Atlas-Writeup zu CVE-2026-98432 — Trigger-Optionen + Regel
CIQ KB — „Mitigating CVE-2026-98432 on Rocky Linux" (verifiziertes Firewall-Regel-Verfahren)
Red Hat RHSB-2026-016, Ubuntu CVE-Tracker, NVD

Herkunft

Destilliert aus einem Produktionseinsatz, einschließlich dort aufgetretener Fehler: nft -c als Nicht-Root, der destroy-am-Ende-Reihenfolgefehler, ein nicht gequotetes Heredoc, das stillschweigend \$ verschluckte, und die Double-Apply-Semantik. Reines Dokumentations-Repository — Laufzeitabhängigkeiten: nft ≥ 1.0 + systemd; keine Testsuite (n/a).

Beliebteste

cve-2026-98432-nft-mitigation