cve-2026-98432-dkms

Paquet DKMS Ubuntu pour ipopt_guard, un module noyau qui atténue CVE-2026-98432 en supprimant les paquets TCP IPv4 transportant des options IP. Il enregistre un hook netfilter dans chaque espace de noms réseau, il ne nécessite donc aucune configuration de pare-feu et n'est pas affecté par nft flush ruleset, firewalld ou ufw.

Il s'agit d'une atténuation, pas d'un correctif. Supprimez le paquet une fois que tous les noyaux pris en charge contiennent le correctif amont.

Compilation

make

Le fichier .deb est écrit dans le répertoire parent.

Fonctionnement

Le module est chargé à l'installation et au démarrage par cve-2026-98432-dkms.service, et recompilé par DKMS pour les nouveaux noyaux lorsque leurs en-têtes sont installés.

systemctl status cve-2026-98432-dkms              # failed = non protégé
cat /sys/module/ipopt_guard/parameters/dropped    # paquets supprimés
journalctl -k --grep ipopt_guard                  # journal des suppressions à débit limité

Noyaux corrigés

DKMS ignore les noyaux listés dans kernel-is-fixed, et le service évite de se charger sur ceux-ci. Les noyaux listés s'exécutent sans la protection de ce paquet, ne listez donc un noyau qu'une fois qu'il est confirmé corrigé. Tout noyau non listé conserve le module.

Avant chaque version, comparez le tableau avec https://ubuntu.com/security/CVE-2026-98432. Ubuntu 22.04, 24.04 et 26.04 sont couverts.

Sur Ubuntu 22.04, dkms autoinstall affiche une erreur pour les noyaux ignorés. Cela est sans conséquence, car DKMS 2.8.7 signale l'exclusion de la même manière qu'un échec. Un véritable échec de compilation sur 22.04 ne fait pas non plus échouer la mise à niveau du noyau, fiez-vous donc à l'état du service pour le détecter.

Limitations connues

• CIPSO définit lui-même ireq_opt, les sites qui l'utilisent ne sont donc pas protégés. Le module supprime également leur trafic TCP étiqueté. Désactivez la suppression avec echo N > /sys/module/ipopt_guard/parameters/enabled, ou de manière persistante avec options ipopt_guard enabled=N dans /etc/modprobe.d/.
• Les suppressions sont silencieuses pour l'expéditeur : aucun reset TCP ni erreur ICMP n'est renvoyé.
• Les systèmes Secure Boot nécessitent l'enrôlement de la clé de signature DKMS, sinon le module ne se chargera pas.