cve-2026-98432-dkms

Paquete DKMS de Ubuntu para ipopt_guard, un módulo del kernel que mitiga CVE-2026-98432 descartando los paquetes TCP IPv4 que transportan opciones IP. Registra un hook de netfilter en cada espacio de nombres de red, por lo que no necesita configuración de firewall y no se ve afectado por nft flush ruleset, firewalld ni ufw.

Esto es una mitigación, no una corrección. Elimine el paquete una vez que todos los kernels soportados contengan la corrección upstream.

Compilación

make

El .deb se escribe en el directorio padre.

Funcionamiento

El módulo se carga al instalar y al arrancar mediante cve-2026-98432-dkms.service, y DKMS lo recompila para nuevos kernels cuando se instalan sus headers.

systemctl status cve-2026-98432-dkms              # failed = no protegido
cat /sys/module/ipopt_guard/parameters/dropped    # paquetes descartados
journalctl -k --grep ipopt_guard                  # registro de descartes con límite de tasa

Kernels corregidos

DKMS omite los kernels listados en kernel-is-fixed, y el servicio omite la carga en ellos. Los kernels listados se ejecutan sin la protección de este paquete, así que solo liste un kernel una vez que se confirme que está corregido. Cualquier kernel no listado mantiene el módulo.

Antes de cada versión, compare la tabla con https://ubuntu.com/security/CVE-2026-98432. Ubuntu 22.04, 24.04 y 26.04 están cubiertos.

En Ubuntu 22.04, dkms autoinstall imprime un error para los kernels omitidos. Esto es inofensivo, ya que DKMS 2.8.7 informa la exclusión de la misma manera que un fallo. Un fallo de compilación real en 22.04 tampoco hace fallar la actualización del kernel, así que confíe en el estado del servicio para detectarlo.

Limitaciones conocidas

• CIPSO establece ireq_opt por sí mismo, por lo que los sitios que lo usan no están protegidos. El módulo también descarta su tráfico TCP etiquetado. Desactive el descarte con echo N > /sys/module/ipopt_guard/parameters/enabled, o de forma persistente con options ipopt_guard enabled=N en /etc/modprobe.d/.
• Los descartes son silenciosos para el emisor: no se devuelve ningún reset TCP ni error ICMP.
• Los sistemas con Secure Boot necesitan que la clave de firma de DKMS esté inscrita, o el módulo no se cargará.