polikhronidi/cve-2026-98432-ubuntu-backportQuellvalidierter Ubuntu-6.8-Backport-Kandidat für Eric Dumazets Upstream-Fix zu CVE-2026-98432, mit Provenienz und CI. Noch nicht kompiliert oder boot-getestet.
Status: quellenvalidierter Kandidat. Nicht kompiliert, nicht boot-getestet, nicht installiert und nicht upstream veröffentlicht.
Dieses Repository passt Eric Dumazets bestehenden Upstream-Fix an den exakten Ubuntu-Quellbaum Ubuntu-6.8.0-147.147 an. Es erhebt keinen Anspruch auf die Entdeckung der Schwachstelle oder die Urheberschaft am Upstream-Fix. Der ursprüngliche Autor und die Upstream-Review-/Sign-off-Trailer bleiben im Patch erhalten. Es wird kein nachgelagerter Developer Certificate of Origin-Sign-off im Namen Dritter geltend gemacht.
Die Änderung verzögert das Freigeben von IPv4-Optionen, bis eine RCU-Grace-Period in inet_sock_destruct() und tcp_v4_reqsk_destructor() abgelaufen ist. Dies sind dieselben zwei semantischen Ersetzungen wie upstream; der Patch-Kontext ist an Ubuntu 6.8 angepasst.
0495f811cae0b8b7c718d936a2057b25cee7cf0cZum Zeitpunkt der Erstellung, dem 30.10.2026, führte Ubuntu den Noble-Fix als in Arbeit befindlich in 6.8.0-149.149 auf. Konsultieren Sie den Tracker, bevor Sie neue Arbeit beginnen; ein offizieller gepatchter Kernel kann diesen Kandidaten überholen.
Voraussetzungen: Python 3.9+, Git und HTTPS-Zugriff auf den offiziellen Ubuntu-Quellhost.
python3 tools/check_backport.py
Der Checker lädt nur drei Dateien aus dem gepinnten Commit herunter und überprüft deren SHA-256-Hashes, bevor er einen isolierten temporären Checkout verwendet. Er prüft die Patch- Anwendung, das Vorhandensein des RCU-Callback-Felds, die exakten zwei Quelltext- Ersetzungen, die Rückwärtsanwendung und die Ablehnung einer doppelten Anwendung. Ein vorhandener Quellbaum kann verwendet werden, ohne ihn zu verändern:
python3 tools/check_backport.py --source-dir /path/to/ubuntu-noble
Die Quell-Hashes beschränken diese Prüfung bewusst auf genau eine Version. Eine
andere Kernel-Revision erfordert eine separate Überprüfung. git apply --check
belegt weder Compiler-Kompatibilität noch Laufzeitsicherheit.
Der enthaltene GitHub-Actions-Workflow validiert den Quellcode bei relevanten Pushes und Pull
Requests. Relevante Pushes rufen außerdem den vollständigen gepinnten Ubuntu-Baum ab, wenden den
Kandidaten an, konfigurieren einen x86-64-Kernel mit MPTCP und kompilieren die beiden geänderten
Translation Units. Ein manueller Run workflow-Eintrag kann dieselbe Kompilierung anfordern.
Der erste gehostete Lauf erreichte keinen Runner und führte keine Schritte aus; siehe
VALIDATION.md und den Actions-Tab des Repositorys. Lokale Quellcode-Prüfungen waren erfolgreich.
Die Kompilierung zweier Objekte ist kein vollständiger Kernel-Build und kein Laufzeittest.
Die Produktionsinstallation liegt außerhalb der Skripte in diesem Repository. Bevorzugen Sie das offizielle Ubuntu-Sicherheitsupdate, sobald es verfügbar ist. Die bestehende temporäre Netzwerkfilterung bleibt eine separate Maßnahme und ist kein Kernel-Patch.
Siehe VALIDATION.md für die genauen abgeschlossenen und fehlenden Prüfungen. Es gibt hier keinen
Exploit- oder Race-Triggering-Test. Es sind keine Produktions-IPs, Dienstnamen, Anmeldedaten,
Kundendaten, SSH-Schlüssel oder Betriebsprotokolle enthalten.
Die Lizenzierung des Kernel-Patches und die ursprünglichen Trailer bleiben aus dem Upstream erhalten.
Der Checker und der Workflow werden unter GPL-2.0-only vertrieben; der Lizenztext
und die Kernel-Lizenzierungsmetadaten befinden sich in LICENSES/GPL-2.0.txt.