CVE-2026-98432 - Escáner de vulnerabilidad de use-after-free en TCP IPv4 del kernel de Linux

Una herramienta de auditoría de red para Windows y Windows Server diseñada para evaluar hosts Linux remotos en busca de CVE-2026-98432, una vulnerabilidad crítica de ejecución remota de código (RCE) y denegación de servicio del kernel que afecta a la pila de red TCP IPv4 del kernel de Linux.

Descripción general de la vulnerabilidad

Métrica	Detalles
ID de CVE	CVE-2026-98432
Tipo de vulnerabilidad	Use-After-Free (UAF) / Condición de carrera (CWE-416)
Puntuación CVSS v3.1	9.8 (Crítica) — `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
Componente afectado	Red IPv4 del kernel de Linux (`net/ipv4/tcp_ipv4.c`, `net/ipv4/af_inet.c`)
Versiones afectadas	Versiones del kernel de Linux 4.4 y posteriores (anteriores a las versiones parcheadas)
Vector de explotación	Atacante de red remoto no autenticado que envía paquetes SYN TCP IPv4 manipulados con opciones IP
Impacto	Ejecución remota de código (RCE) en espacio del kernel, caída del sistema (Kernel Panic / DoS), corrupción de memoria

Causa raíz técnica

Durante un handshake TCP IPv4 entrante de tres vías (paquete SYN):

Si la solicitud de conexión TCP contiene opciones IPv4 (inet_opt e ireq_opt), el kernel de Linux almacena una copia de estas opciones en una estructura de solicitud de conexión pendiente para devolverlas en la respuesta SYN-ACK.
Cuando el handshake se completa, la propiedad de la estructura de opciones se transfiere al socket hijo recién creado sin ser duplicada.
En kernels vulnerables, los destructores (inet_sock_destruct() y tcp_v4_reqsk_destructor()) liberaban estas opciones inmediatamente mediante un kfree() síncrono.
Bajo condiciones de carrera (como retransmisiones SYN o migraciones de sockets de solicitud entre núcleos de CPU), otro núcleo de CPU puede leer la estructura de opciones mientras se está liberando, desencadenando una condición de Use-After-Free (UAF).

Debido a que este código se ejecuta dentro de la pila TCP del kernel antes de que el tráfico entrante llegue a las aplicaciones de espacio de usuario, cualquier puerto TCP IPv4 en escucha en el servidor expone al kernel a una posible explotación remota.

Versiones del kernel parcheadas

1. Versiones estables upstream

La vulnerabilidad fue resuelta upstream por Eric Dumazet (commit e3f33b0a1d89: "ipv4: free inet_opt and ireq_opt after an RCU grace period"). Versiones mínimas parcheadas:

Rama 5.10: 5.10.272 o posterior
Rama 5.15: 5.15.223 o posterior
Rama 6.1: 6.1.190 o posterior
Rama 6.6: 6.6.159 o posterior
Rama 6.12: 6.12.113 o posterior
Rama 6.18: 6.18.56 o posterior
Rama 7.2: 7.2.10 o posterior
Rama 7.3: 7.3.0 o posterior

2. Principales distribuciones de Linux

Ubuntu 24.04 LTS: Corregido en el paquete linux versión 6.8.0-149.149 o superior
Ubuntu 22.04 LTS: Corregido en el paquete linux versión 5.15.0-203.213 o superior
Ubuntu 26.04 LTS: Corregido en el paquete linux versión 7.0.0-43.43 o superior
Ubuntu 26.10: Corregido en el paquete linux versión 7.3.0-10.10 o superior
RHEL 8 / 9 / 10 y AlmaLinux / Rocky Linux: Corregido mediante avisos de seguridad del proveedor (RHSA / ALSA)

Arquitectura y características de la herramienta

El escáner proporciona una verificación segura y no destructiva desde cualquier estación de trabajo o servidor Windows:

Paso 1: Accesibilidad de red (ping ICMP): Confirma la disponibilidad del host y el enrutamiento de red.
Paso 2: Auditoría de exposición de puertos TCP de alta velocidad: Utiliza sockets .NET asíncronos sin bloqueo para probar los puertos TCP expuestos estándar (SSH 22, HTTP 80, HTTPS 443, HTTP alternativo 8080/8443, MySQL 3306, PostgreSQL 5432, Redis 6379). Cualquier puerto TCP IPv4 abierto indica que la pila TCP del kernel está recibiendo y procesando paquetes activamente.
Paso 3: Auditoría remota de versión del kernel SSH y parches: Se conecta mediante OpenSSH nativo de Windows (ssh.exe) para consultar de forma segura uname -r, /etc/os-release y las mitigaciones activas del firewall sin ejecutar payloads de explotación disruptivos.
Motor de veredicto y evaluación:
- VULNERABLE: El host ejecuta una versión del kernel afectada sin la corrección.
- SECURE / PATCHED: El host ejecuta una versión del kernel parcheada.
- MANUAL VERIFICATION: El backport personalizado o específico del proveedor requiere revisión manual.

Cómo usar

Opción 1: Ejecución interactiva (recomendada)

Haga doble clic en check_cve_2026_98432.bat o ejecute desde CMD:

.\check_cve_2026_98432.bat

Se te pedirá que:

Introduzcas la dirección IP del servidor Linux objetivo (p. ej., 192.168.1.100).
Visualices la evaluación de exposición de puertos.
Opcionalmente, te autentiques vía SSH para verificar la compilación exacta del kernel.

Opción 2: Línea de comandos de PowerShell

Auditoría completa de red + SSH:

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SshUser "admin"

Puerto SSH personalizado:

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SshPort 2222 -SshUser "ubuntu"

Exposición de puertos de red únicamente (omitir la autenticación SSH):

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SkipSsh

Guía de Remediación y Mitigación

1. Remediación Permanente (Actualización del Kernel)

Aplique las actualizaciones de seguridad oficiales desde el repositorio de su distribución y reinicie el servidor:

Ubuntu / Debian:

sudo apt update
sudo apt --only-upgrade install linux-image-generic
sudo reboot

RHEL / AlmaLinux / Rocky Linux / CentOS:
```
sudo dnf update kernel
sudo reboot
```
Arch Linux:
```
sudo pacman -Syu linux
sudo reboot
```
Verificar el kernel en ejecución actual:
```
uname -r
```

2. Mitigación temporal del firewall (si no es posible reiniciar de inmediato)

La vulnerabilidad requiere paquetes TCP que contengan opciones IPv4. Si no puede reiniciar de inmediato, descarte todos los paquetes TCP entrantes que lleven opciones IPv4 usando iptables:

# Insert rule at top of INPUT chain
sudo iptables -I INPUT 1 -p tcp -m ipv4options --any-opt -j DROP

# Persist the rule (Debian/Ubuntu)
sudo iptables-save | sudo tee /etc/iptables/rules.v4

# Persist the rule (RHEL/CentOS)
sudo service iptables save

(Nota: el tráfico TCP estándar de internet rara vez utiliza las opciones de IPv4, por lo que descartarlas normalmente no causa ninguna interrupción en las cargas de trabajo estándar de web, SSH o bases de datos).

Más Populares

CVE-2026-98432-scan