CVEPoC

CVE-2026-98432 – Linux IPv4 TCP Use-After-Free Toolkit

Nur zur ethischen Verwendung – Autorisierte Sicherheitstests

Dieses Repository stellt Werkzeuge ausschließlich für autorisierte Sicherheitsexperten, Blue Teams und Penetrationstester bereit. Unbefugter Zugriff auf Computersysteme ist illegal gemäß CFAA (USA), Computer Misuse Act (UK), TCK 243/244 (Türkei) und ähnlichen Gesetzen weltweit.

LinuxBanner

[*] Schwachstellenübersicht

CVE-2026-98432 ist eine Use-After-Free-Schwachstelle im IPv4-TCP-Stack des Linux-Kernels. Ein eingehendes SYN-Paket mit IPv4-Optionen veranlasst den Kernel, eine Kopie dieser Optionen auf dem Request-Socket zu speichern. Wird das SYN zum richtigen Zeitpunkt erneut übertragen, kann eine CPU diese Kopie freigeben, während eine andere sie noch liest, um das SYN-ACK zu erstellen – was zu einer Use-After-Free-Situation in ip_options_build() führt.

Ein zweiter Auslöser existiert, wenn der Server ausstehende Verbindungsanfragen zwischen Sockets migriert (net.ipv4.tcp_migrate_req=1 oder ein BPF_SK_REUSEPORT_SELECT_OR_MIGRATE-Programm). Beide Auslöser haben dieselbe Ursache: inet_sock_destruct() und tcp_v4_reqsk_destructor() geben die Optionen mit einem einfachen kfree() frei, anstatt auf eine RCU-Grace-Period zu warten.

> Funktionsweise

Optionen beim SYN gespeichert – tcp_v4_save_options() speichert die eingehenden IPv4-Optionen (ireq_opt) auf dem Request-Socket.
Eigentum übertragen – tcp_v4_syn_recv_sock() übergibt ireq_opt an den Child-Socket, ohne es zu kopieren.
Gleichzeitige Freigabe – der Child-Socket wird zerstört und inet_sock_destruct() gibt inet_opt mit einem einfachen kfree() frei.
Gleichzeitiges Lesen – ein erneut übertragenes SYN erreicht tcp_v4_send_synack() → ip_options_build(), das die bereits freigegebenen Optionen liest.
UAF – Speicherbeschädigung im Kernel, Absturz (DoS) und unter bestimmten Bedingungen (Non-PIE-Binary, MPTCP-Listener, Worker-Thread-Layout) Codeausführung.

Der Upstream-Fix ist Commit e3f33b0a1d89 („ipv4: free inet_opt and ireq_opt after an RCU grace period"), der beide Freigaben in kfree_rcu() umwandelt. IPv6 ist vom Hauptproblem nicht betroffen.

Betroffene Versionen

Linux-Kernel – 4.4 und später
Behoben in – 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, 7.3-rc7
Ubuntu 20.04 / 18.04 / 16.04 – nur über Ubuntu Pro (ESM), falls überhaupt
RHEL 8 / 9 / 10 – Stand 2026-10-30 als „fix deferred" gemeldet
IPv6 – vom Hauptproblem nicht betroffen

Patch

Aktualisieren Sie auf einen Kernel, der mindestens der behobenen Version Ihres Zweigs entspricht.
Distributions-Kernel backporten Fixes, daher sollten Sie eine Distributionsversion wie 5.15.0-xxx nicht mit den Upstream-Nummern vergleichen. Prüfen Sie den Sicherheits-Tracker des Herstellers.
Wenn ein behobener Kernel installiert, aber nicht ausgeführt wird, starten Sie das System neu.
Vorläufige Gegenmaßnahme: Verwerfen Sie eingehende IPv4-TCP-Pakete, die IP-Optionen enthalten. Normale Clients senden keine IP-Optionen, sodass echter Datenverkehr nicht beeinträchtigt wird.

[!] Beobachtungen aus der Praxis

Datum	Beobachtung	Quelle
2026-11-04	Ubuntu 22.04 LTS (und neuer) hat den Fix weiterhin nur in `-proposed`; Standard-`-updates`-Nutzer verbleiben auf einem verwundbaren Kernel, bis der Fix befördert wird. MPTCP ist auf betroffenen Releases standardmäßig aktiviert, obwohl der Fehler nicht MPTCP-spezifisch ist.	Ubuntu CVE Tracker · Ubuntu Blog – Fixes in -proposed
2026-11-02	AWS bestätigt, dass die Schwachstelle Linux-Kernel 4.4+ betrifft und Ubuntu-basierte Lightsail-Blueprints im Geltungsbereich liegen; die Gegenmaßnahme besteht darin, einen gepatchten Kernel zu installieren oder eine temporäre Firewall-Regel anzuwenden, die IPv4-TCP-Pakete mit IP-Optionen verwirft.	AWS Docs – Address CVE-2026-98432 on Lightsail
2026-10-15	Offizielle Kernel-CVE-Ankündigung: Die Ursache ist die fehlende RCU-Grace-Period vor dem `kfree()` von `inet_opt` / `ireq_opt`; behoben in 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, 7.3-rc7.	Linux CVE Announce – Openwall

Hinweis: Diese Beobachtungen bestätigen die Exposition (verwundbarer Kernel + standardmäßig aktives MPTCP auf Standard-Ubuntu) und den offiziellen Fix-Status; sie sind keine Bestätigung dafür, dass der Exploit in diesem Repository auf einem bestimmten Host erfolgreich ausgeführt wurde.

[</>] Tools

Tool	Zweck	Vorgesehene Nutzer
`cve_2026_98432`	Red- und Blue-Team-Toolkit. Quell- und Laufzeit-Patch-Prüfungen, Netzwerk-Probe, Race-Oracle mit Marker-Wiederverwendungserkennung, pcap-Analyse, KASLR-Slide-Recovery und Mitigationshinweise. Einzelner Befehl mit interaktivem Menü oder direkten Flags.	Red Teams, Blue Teams, autorisierte Pentester
`--check`	Lokale Kernel-Versions- und Quellbaum-Inspektion.	Blue Teams, Auditoren
`--probe`	Bestätigen, dass ein TCP-Listener erreichbar ist und IPv4-SYN-Optionen den Stack erreichen.	Red Teams, Blue Teams
`--race`	Marker-basiertes Race-Oracle. Sendet präparierte SYNs und inspiziert SYN-ACKs auf Cross-Flow-Marker-Wiederverwendung.	Red Teams (Prob)
`--pcap`	Offline-pcap-Analyse. Erkennt UAF-Hinweise und Kernel-Pointer-Kandidaten.	Blue Teams (Partial)
`--map`	KASLR-Slide-Recovery aus geleakten Text-Pointern unter Verwendung einer `System.map`.	Red Teams (Partial)
`--harden`	Mitigationen anwenden oder in der Vorschau anzeigen (MPTCP aus, Migration aus, IP-Option-Drop).	Blue Teams (Prob)

Zuverlässigkeitskennzeichnungen

Kennzeichnung	Bedeutung
(ohne Kennzeichnung)	Deterministisch. Gleiche Eingabe, gleiche Ausgabe.
(Prob)	Race-Ergebnisse können zwischen Läufen variieren. Das Tool wiederholt Versuche für eine begrenzte Dauer.
(Partial)	Hängt von korrekter Eingabe ab. Das Tool funktioniert, wenn eine gültige pcap oder eine passende `System.map` bereitgestellt wird.

Beliebteste

CVE-2026-98432-PoC-Exploit