Détecte CVE-2026-98432 sur le noyau Linux en cours d'exécution et applique le noyau corrigé officiel uniquement sur les distributions vérifiées (Debian 12/13, Amazon Linux 2/2023). Ubuntu/RHEL en détection seule ; Rocky/Alma/Oracle/Fedora/SUSE/Arch/Alpine identifiés mais non corrigés automatiquement.
简体中文 | English
Détecte si le noyau actuellement en cours d'exécution sur un serveur Linux est affecté par CVE-2026-98432, et installe le paquet de noyau officiel corrigé sur les distributions pour lesquelles l'adaptation et la vérification ont été effectuées. L'outil couvre l'identification de la distribution, la correspondance entre le noyau et le paquet logiciel, la détermination de l'état de la vulnérabilité, l'installation du noyau et la revérification après installation ; il ne modifie pas la configuration métier et ne redémarre pas automatiquement le serveur.
La correction automatique ne couvre que Debian 12/13 et Amazon Linux 2/2023. Ubuntu, Red Hat Enterprise Linux et CloudLinux font uniquement l'objet d'une détection : le paquet de correction officiel de CloudLinux est déjà publié, mais implique un déploiement progressif et une éligibilité à l'abonnement ; l'outil fournit uniquement la version précise et le canal. Les autres distributions font uniquement l'objet d'une identification et d'une sortie d'informations, sans entrer dans le processus d'installation. Voir la matrice de prise en charge des distributions pour l'état détaillé.
Version actuelle v1.3.0, journal des modifications dans CHANGELOG.md.
| Élément | Contenu |
|---|---|
| Identifiant | CVE-2026-98432 |
| Composant | Sous-système IPv4 du noyau Linux (tcp_v4_syn_recv_sock, tcp_v4_reqsk_destructor) |
| Type | Utilisation après libération (use-after-free) |
| Condition de déclenchement | Lors du traitement concurrent de SYN TCP retransmis, ou lors de la migration de sockets de requête avec tcp_migrate_req activé, inet_opt et ireq_opt peuvent être libérés avant la fin de la période de grâce RCU |
| Impact | Corruption de la mémoire du noyau, pouvant entraîner un déni de service. La portée exacte de l'impact et les conditions d'exploitation sont définies par les avis de chaque distribution |
| Correction amont | ipv4: free inet_opt and ireq_opt after an RCU grace period, correction intégrée dans 7.2.10, 6.18.56, 6.12.113, 6.1.190 (commit 26d4c36d318c) |
| Date de publication | 2026-10-15 |
La question de savoir si chaque distribution est affectée et quelle est la version corrigée est définie par l'avis officiel de cette distribution. Cet outil ne déduit rien à partir des conclusions d'autres distributions, n'infère pas l'état de correction d'une distribution à partir du numéro de version amont, et n'évalue pas le score CVSS ni la complexité réelle d'attaque.
ID, VERSION_ID, VERSION_CODENAME de /etc/os-release, complétée par des informations propres à la distribution (comme le marqueur UEK d'Oracle, le numéro de version d'Amazon Linux). ID_LIKE n'est pas utilisé pour fusionner les identités : Ubuntu n'est pas traité comme Debian, et Rocky Linux, AlmaLinux, Oracle Linux ne sont pas traités comme RHEL.uname -m (x86_64 noté amd64, aarch64 noté arm64), puis recoupement avec l'architecture rapportée par le gestionnaire de paquets ; en cas d'incohérence, le résultat est UNKNOWN.--report génère la conclusion de détection et ses justifications, --list-distros affiche la matrice de prise en charge.kernel-lts) ; l'identification prend en charge Rocky Linux, AlmaLinux, Oracle Linux, Fedora, openSUSE Leap, SUSE Linux Enterprise, Arch Linux, Alpine Linux. Lorsque la version de la distribution n'est pas dans le périmètre d'adaptation, UNSUPPORTED est renvoyé.--list-distros peut être exécuté par un utilisateur ordinaire.awk, sed, grep, tar, find ; les outils de gestion de paquets correspondant à la distribution (dpkg/apt-get/apt-cache, rpm/dnf/yum, apk, pacman, zypper) ; l'installateur d'amorçage nécessite en plus curl et sha256sum (ou shasum).curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash
install.sh est l'installateur d'amorçage ; il ne modifie pas le système lui-même : il télécharge l'archive du code source du Tag correspondant dans un répertoire temporaire, la décompresse, lit SHA256SUMS depuis la Release, vérifie un par un fix.sh, install.sh, lib/*.sh, adapters/*.sh et data/*.yml, et ce n'est qu'après que tout est validé qu'il exécute fix.sh avec les mêmes paramètres. Une fois la détection terminée, le plan de réparation est affiché ; l'installation du noyau n'a lieu qu'après saisie de Y pour confirmation. L'invite de confirmation est lue depuis /dev/tty, ce qui permet une interaction normale même en exécution via un pipe ; sudo peut demander un mot de passe.
La vérification applique le principe fail closed : si SHA256SUMS est absent ou vide, si le manifeste ne couvre pas tous les scripts, si le hachage d'un fichier quelconque ne correspond pas, si l'archive contient des chemins absolus ou .., ou si le système manque de sha256sum et shasum, l'exécution s'arrête après décompression ou avant exécution, sans exécuter aucun code de l'outil. SHA256SUMS et le paquet source proviennent du même dépôt et ne disposent pas d'une signature numérique indépendante ; cela ne peut donc pas être assimilé à une vérification par signature. Avant utilisation en environnement de production, il est toujours recommandé de télécharger d'abord le script pour l'examiner soi-même.
curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash -s -- --check