Detecta CVE-2026-98432 en el kernel de Linux en ejecución y aplica el kernel corregido oficial solo en distribuciones verificadas (Debian 12/13, Amazon Linux 2/2023). Ubuntu/RHEL solo detección; Rocky/Alma/Oracle/Fedora/SUSE/Arch/Alpine se identifican pero no se corrigen automáticamente.
简体中文 | English
Detecta si el kernel en ejecución actual de un servidor Linux está afectado por CVE-2026-98432 e instala el paquete de kernel oficial de reparación en las distribuciones que ya han sido adaptadas y verificadas. La herramienta cubre la identificación de la distribución, el mapeo de kernel a paquete de software, la determinación del estado de la vulnerabilidad, la instalación del kernel y la revisión posterior a la instalación; no modifica la configuración del negocio ni reinicia el servidor automáticamente.
La reparación automática solo cubre Debian 12/13 y Amazon Linux 2/2023. Ubuntu, Red Hat Enterprise Linux y CloudLinux solo realizan detección: el paquete de reparación oficial de CloudLinux ya ha sido publicado, pero implica despliegue gradual y elegibilidad de suscripción, por lo que la herramienta solo proporciona la versión exacta y el canal. Las demás distribuciones solo realizan identificación y salida de información, sin entrar en el proceso de instalación. Para el estado específico, consulte la matriz de soporte de distribuciones.
Versión actual v1.3.0, el registro de cambios está en CHANGELOG.md.
| Elemento | Contenido |
|---|---|
| Identificador | CVE-2026-98432 |
| Componente | Subsistema IPv4 del kernel de Linux (tcp_v4_syn_recv_sock, tcp_v4_reqsk_destructor) |
| Tipo | Use-after-free (uso después de liberación) |
| Condición de activación | Al procesar concurrentemente SYN retransmitidos, o al migrar sockets de solicitud con tcp_migrate_req habilitado, inet_opt e ireq_opt pueden liberarse antes de que finalice el período de gracia de RCU |
| Impacto | Corrupción de memoria del kernel, puede provocar denegación de servicio. El alcance específico del impacto y las condiciones de explotación se rigen por los avisos de cada distribución |
| Reparación upstream | ipv4: free inet_opt and ireq_opt after an RCU grace period, la reparación entra en 7.2.10, 6.18.56, 6.12.113, 6.1.190 (commit 26d4c36d318c) |
| Fecha de divulgación | 2026-10-15 |
Si cada distribución está afectada y cuál es la versión de reparación se rige por el aviso oficial de dicha distribución. Esta herramienta no deriva conclusiones basándose en las de otras distribuciones, ni infiere el estado de reparación de una distribución a partir del número de versión upstream, ni evalúa la puntuación CVSS ni la complejidad real de ataque.
ID, VERSION_ID, VERSION_CODENAME de /etc/os-release, y superpone información específica de la distribución (como la marca UEK de Oracle, el número de versión de Amazon Linux). No utiliza ID_LIKE para colapsar identidades; Ubuntu no se trata como Debian, y Rocky Linux, AlmaLinux, Oracle Linux no se tratan como RHEL.uname -m (x86_64 se registra como amd64, aarch64 como arm64), y luego lo verifica de forma cruzada con la arquitectura reportada por el gestor de paquetes; si no coinciden, se determina como UNKNOWN.--report genera la conclusión de detección y su fundamento, --list-distros muestra la matriz de soporte.kernel-lts); la identificación soporta Rocky Linux, AlmaLinux, Oracle Linux, Fedora, openSUSE Leap, SUSE Linux Enterprise, Arch Linux, Alpine Linux. Cuando la versión de la distribución no está dentro del alcance de adaptación, se devuelve UNSUPPORTED.--list-distros puede ejecutarse como usuario normal.awk, sed, grep, tar, find; las herramientas de gestión de paquetes correspondientes a la distribución (dpkg/apt-get/apt-cache, rpm/dnf/yum, apk, pacman, zypper); el instalador de arranque requiere adicionalmente curl y sha256sum (o shasum).curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash
install.sh es el instalador de arranque y no modifica el sistema por sí mismo: descarga el archivo de código fuente de la etiqueta correspondiente a un directorio temporal, lo descomprime y luego lee SHA256SUMS desde el Release, verificando uno por uno fix.sh, install.sh, lib/*.sh, adapters/*.sh y data/*.yml; solo después de que todo pase, ejecuta fix.sh con los mismos parámetros. Tras completar la detección, muestra el plan de reparación y solo instala el kernel si se confirma introduciendo Y. La solicitud de confirmación se lee desde /dev/tty, por lo que la interacción también funciona al ejecutarse mediante una tubería; sudo puede solicitar la contraseña.
La verificación se maneja con fail closed: si SHA256SUMS falta o está vacío, si el manifiesto no cubre todos los scripts, si el hash de cualquier archivo no coincide, si el archivo contiene rutas absolutas o .., o si el sistema carece de sha256sum y shasum, se aborta tras la descompresión o antes de la ejecución, sin ejecutar ningún código de la herramienta. SHA256SUMS y el paquete de código fuente provienen del mismo repositorio y no cuentan con una firma digital independiente, por lo que no equivalen a una verificación por firma. Antes de usarlo en un entorno de producción, se recomienda descargar el script y revisarlo por cuenta propia.
curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash -s -- --check
Solo lee el estado del sistema, no actualiza el índice de paquetes, no instala paquetes ni modifica la configuración. --check restringe las fases de detección y reparación, sin afectar el comportamiento de descarga de install.sh en sí. Cuando el índice de paquetes local está vacío, la versión candidata se mostrará como desconocida, por lo que es necesario ejecutar primero apt-get update o dnf makecache por cuenta propia.
curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash -s -- --yes