CVE-2026-98432 - Scanner de vulnérabilité Use-After-Free du TCP IPv4 du noyau Linux

Un outil d'audit réseau pour Windows et Windows Server conçu pour évaluer les hôtes Linux distants afin de détecter CVE-2026-98432 — une vulnérabilité critique d'exécution de code à distance (RCE) et de déni de service du noyau affectant la pile réseau TCP IPv4 du noyau Linux.

Aperçu de la vulnérabilité

Métrique	Détails
ID CVE	CVE-2026-98432
Type de vulnérabilité	Use-After-Free (UAF) / Condition de concurrence (CWE-416)
Score CVSS v3.1	9.8 (Critique) — `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
Composant affecté	Réseau IPv4 du noyau Linux (`net/ipv4/tcp_ipv4.c`, `net/ipv4/af_inet.c`)
Versions affectées	Versions du noyau Linux 4.4 et ultérieures (antérieures aux versions corrigées)
Vecteur d'exploitation	Attaquant réseau distant non authentifié envoyant des paquets SYN TCP IPv4 forgés avec des options IP
Impact	Exécution de code à distance (RCE) dans l'espace noyau, plantage du système (Kernel Panic / DoS), corruption de mémoire

Cause racine technique

Lors d'une poignée de main TCP IPv4 entrante en trois étapes (paquet SYN) :

Si la demande de connexion TCP contient des options IPv4 (inet_opt et ireq_opt), le noyau Linux stocke une copie de ces options dans une structure de demande de connexion en attente afin de les renvoyer dans la réponse SYN-ACK.
Lorsque la poignée de main se termine, la propriété de la structure d'options est transférée au socket enfant nouvellement créé sans être dupliquée.
Dans les noyaux vulnérables, les destructeurs (inet_sock_destruct() et tcp_v4_reqsk_destructor()) libéraient ces options immédiatement à l'aide d'un kfree() synchrone.
Dans des conditions de concurrence (telles que des retransmissions SYN ou des migrations de sockets de requête entre cœurs de CPU), un autre cœur de CPU peut lire la structure d'options pendant qu'elle est libérée, déclenchant une condition Use-After-Free (UAF).

Étant donné que ce code s'exécute à l'intérieur de la pile TCP du noyau avant que le trafic entrant n'atteigne les applications en espace utilisateur, tout port TCP IPv4 en écoute sur le serveur expose le noyau à une exploitation distante potentielle.

Versions du noyau corrigées

1. Versions stables amont

La vulnérabilité a été corrigée en amont par Eric Dumazet (commit e3f33b0a1d89 : « ipv4: free inet_opt and ireq_opt after an RCU grace period »). Versions corrigées minimales :

Branche 5.10 : 5.10.272 ou ultérieure
Branche 5.15 : 5.15.223 ou ultérieure
Branche 6.1 : 6.1.190 ou ultérieure
Branche 6.6 : 6.6.159 ou ultérieure
Branche 6.12 : 6.12.113 ou ultérieure
Branche 6.18 : 6.18.56 ou ultérieure
Branche 7.2 : 7.2.10 ou ultérieure
Branche 7.3 : 7.3.0 ou ultérieure

2. Principales distributions Linux

Ubuntu 24.04 LTS : Corrigé dans le paquet linux version 6.8.0-149.149 ou supérieure
Ubuntu 22.04 LTS : Corrigé dans le paquet linux version 5.15.0-203.213 ou supérieure
Ubuntu 26.04 LTS : Corrigé dans le paquet linux version 7.0.0-43.43 ou supérieure
Ubuntu 26.10 : Corrigé dans le paquet linux version 7.3.0-10.10 ou supérieure
RHEL 8 / 9 / 10 & AlmaLinux / Rocky Linux : Corrigé via les avis de sécurité des éditeurs (RHSA / ALSA)

Architecture et fonctionnalités de l'outil

Le scanner fournit une vérification non destructive et sûre depuis n'importe quel poste de travail ou serveur Windows :

Étape 1 : Accessibilité réseau (ping ICMP) : Confirme la disponibilité de l'hôte et le routage réseau.
Étape 2 : Audit d'exposition des ports TCP à haut débit : Utilise des sockets .NET asynchrones non bloquants pour tester les ports TCP standard exposés (SSH 22, HTTP 80, HTTPS 443, Alt HTTP 8080/8443, MySQL 3306, PostgreSQL 5432, Redis 6379). Tout port TCP IPv4 ouvert indique que la pile TCP du noyau reçoit et traite activement les paquets.
Étape 3 : Audit à distance de la version du noyau et des correctifs via SSH : Se connecte via OpenSSH natif de Windows (ssh.exe) pour interroger de manière sécurisée uname -r, /etc/os-release et les mesures de pare-feu actives, sans exécuter de charges d'exploitation perturbatrices.
Moteur de verdict et d'évaluation :
- VULNERABLE : L'hôte exécute une version du noyau affectée sans le correctif.
- SECURE / PATCHED : L'hôte exécute une version du noyau corrigée.
- MANUAL VERIFICATION : Un rétroportage personnalisé ou spécifique au fournisseur nécessite une vérification manuelle.

Comment l'utiliser

Option 1 : Exécution interactive (recommandée)

Double-cliquez sur check_cve_2026_98432.bat ou exécutez depuis CMD :

.\check_cve_2026_98432.bat

Vous serez invité à :

Saisir l'adresse IP du serveur Linux cible (par exemple 192.168.1.100).
Consulter l'évaluation de l'exposition des ports.
Éventuellement vous authentifier via SSH pour vérifier la version exacte du noyau.

Option 2 : Ligne de commande PowerShell

Audit complet du réseau + SSH :

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SshUser "admin"

Port SSH personnalisé :

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SshPort 2222 -SshUser "ubuntu"

Exposition des ports réseau uniquement (ignorer l'authentification SSH) :

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SkipSsh

Guide de remédiation et d'atténuation

1. Remédiation permanente (mise à niveau du noyau)

Appliquez les mises à jour de sécurité officielles depuis le dépôt de votre distribution et redémarrez le serveur :

Ubuntu / Debian :

sudo apt update
sudo apt --only-upgrade install linux-image-generic
sudo reboot

RHEL / AlmaLinux / Rocky Linux / CentOS :
```
sudo dnf update kernel
sudo reboot
```
Arch Linux :
```
sudo pacman -Syu linux
sudo reboot
```
Vérifier le noyau actuellement en cours d'exécution :
```
uname -r
```

2. Atténuation temporaire via le pare-feu (si un redémarrage immédiat est impossible)

La vulnérabilité nécessite des paquets TCP contenant des options IPv4. Si vous ne pouvez pas redémarrer immédiatement, supprimez tous les paquets TCP entrants transportant des options IPv4 à l'aide de iptables :

# Insert rule at top of INPUT chain
sudo iptables -I INPUT 1 -p tcp -m ipv4options --any-opt -j DROP

# Persist the rule (Debian/Ubuntu)
sudo iptables-save | sudo tee /etc/iptables/rules.v4

# Persist the rule (RHEL/CentOS)
sudo service iptables save

(Remarque : le trafic TCP standard sur Internet utilise rarement les options IPv4, donc leur suppression ne perturbe généralement pas les charges de travail web, SSH ou de bases de données standard).

Populaires

CVE-2026-98432-scan