mitigate-cve-2026-98432

Mitigación temporal de Ubuntu/UFW usando Puppet. Descarta paquetes TCP IPv4 que llevan opciones IPv4, no opciones TCP ordinarias.

• Rastreador de CVE de Ubuntu
• Red Hat RHSB-2026-016: recomienda el filtrado de opciones TCP/IP de IPv4; distingue explícitamente las opciones TCP ordinarias.
• Boletín de seguridad de AWS 2026-160: proporciona una regla u32 de iptables que filtra longitudes de cabecera IPv4 de 6 a 15.
• Aviso de mitigación de CIQ

Instalación

Elige tu veneno:

• Si tienes stdlib disponible, usa la versión with-stdlib
• Si no tienes stdlib disponible, usa la versión without-stdlib

Luego declara en el catálogo del nodo:

class { 'mitigate_cve_2026_98432':
  ensure => 'present',
}

Comprobación de sanidad:

sudo ufw status verbose
sudo iptables -S INPUT
sudo iptables -S ufw-before-input

Las recargas fallidas se reintentan. Solo cubre el tráfico IPv4 local a través de esta cadena; excluye loopback y no debería afectar a contenedores/VMs.

Eliminar después de aplicar el parche

Primero instala y arranca el kernel corregido y reinicia.

Para cualquiera de las dos variantes, reemplaza la declaración con:

class { 'mitigate_cve_2026_98432':
  ensure => 'absent',
}