CVEPoC

CVE-2026-98432 – Toolkit d'exploitation Use-After-Free dans la pile TCP IPv4 de Linux

Usage éthique uniquement – Tests de sécurité autorisés

Ce dépôt fournit des outils destinés exclusivement aux professionnels de la sécurité autorisés, aux blue teams et aux testeurs d'intrusion. L'accès non autorisé à des systèmes informatiques est illégal au titre du CFAA (États-Unis), du Computer Misuse Act (Royaume-Uni), du TCK 243/244 (Turquie) et de lois similaires dans le monde entier.

LinuxBanner

[*] Aperçu de la vulnérabilité

CVE-2026-98432 est un use-after-free dans la pile TCP IPv4 du noyau Linux. Un SYN entrant transportant des options IPv4 amène le noyau à enregistrer une copie de ces options sur le socket de requête. Si le SYN est retransmis au bon moment, un CPU peut libérer cette copie pendant qu'un autre la lit encore pour construire le SYN-ACK, ce qui provoque un use-after-free dans ip_options_build().

Un second déclencheur existe lorsque le serveur migre des demandes de connexion en attente entre sockets (net.ipv4.tcp_migrate_req=1, ou un programme BPF_SK_REUSEPORT_SELECT_OR_MIGRATE). Les deux déclencheurs partagent la même cause racine : inet_sock_destruct() et tcp_v4_reqsk_destructor() libèrent les options avec un simple kfree() au lieu d'attendre une période de grâce RCU.

> Fonctionnement

Options enregistrées lors du SYN – tcp_v4_save_options() stocke les options IPv4 entrantes (ireq_opt) sur le socket de requête.
Transfert de propriété – tcp_v4_syn_recv_sock() transmet ireq_opt au socket enfant sans le copier.
Libération concurrente – le socket enfant est détruit et inet_sock_destruct() libère inet_opt avec un simple kfree().
Lecture concurrente – un SYN retransmis atteint tcp_v4_send_synack() → ip_options_build(), qui lit les options déjà libérées.
UAF – corruption de la mémoire du noyau, plantage (DoS) et, sous certaines conditions (binaire non-PIE, listener MPTCP, disposition des threads Worker), exécution de code.

Le correctif amont est le commit e3f33b0a1d89 (« ipv4: free inet_opt and ireq_opt after an RCU grace period »), qui convertit les deux libérations en kfree_rcu(). IPv6 n'est pas affecté par le problème principal.

Versions affectées

Noyau Linux – 4.4 et versions ultérieures
Corrigé dans – 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, 7.3-rc7
Ubuntu 20.04 / 18.04 / 16.04 – uniquement via Ubuntu Pro (ESM), si tant est que ce soit le cas
RHEL 8 / 9 / 10 – signalé comme « correctif reporté » au 2026-10-30
IPv6 – non affecté par le problème principal

Correctif

Mettre à niveau vers un noyau égal ou supérieur à la version corrigée pour votre branche.
Les noyaux des distributions rétroportent les correctifs ; ne comparez donc pas une version de distribution comme 5.15.0-xxx avec les numéros amont. Consultez le suivi de sécurité propre à l'éditeur.
Si un noyau corrigé est installé mais pas en cours d'exécution, redémarrez.
Atténuation provisoire : supprimer les paquets TCP IPv4 entrants qui transportent des options IP. Les clients normaux n'envoient pas d'options IP, le trafic réel n'est donc pas affecté.

[!] Observations de terrain

Date	Observation	Source
2026-11-04	Ubuntu 22.04 LTS (et versions ultérieures) ne dispose toujours du correctif que dans `-proposed` ; les utilisateurs standard de `-updates` restent sur un noyau vulnérable jusqu'à ce que le correctif soit promu. MPTCP est activé par défaut sur les versions concernées, bien que le bogue ne soit pas spécifique à MPTCP.	Ubuntu CVE Tracker · Ubuntu Blog – Fixes in -proposed
2026-11-02	AWS confirme que la faille affecte le noyau Linux 4.4+ et que les blueprints Lightsail basés sur Ubuntu sont concernés ; l'atténuation consiste à installer un noyau corrigé ou à appliquer une règle de pare-feu temporaire supprimant les paquets TCP IPv4 avec options IP.	AWS Docs – Address CVE-2026-98432 on Lightsail
2026-10-15	Annonce officielle de la CVE du noyau : la cause racine est l'absence de période de grâce RCU avant le `kfree()` de `inet_opt` / `ireq_opt` ; corrigé dans 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, 7.3-rc7.	Linux CVE Announce – Openwall

Remarque : Ces observations confirment l'exposition (noyau vulnérable + MPTCP par défaut sur Ubuntu standard) et l'état officiel du correctif ; elles ne constituent pas une confirmation que l'exploit de ce dépôt s'est exécuté avec succès sur un hôte spécifique.

[</>] Outils

Outil	Objectif	Utilisateur visé
`cve_2026_98432`	Boîte à outils red team et blue team. Vérifications des correctifs source et à l'exécution, sonde réseau, oracle de course avec détection de réutilisation de marqueur, analyse de pcap, récupération du décalage KASLR et conseils d'atténuation. Commande unique avec menu interactif ou options directes.	Red teams, blue teams, pentesters autorisés
`--check`	Inspection locale de la version du noyau et de l'arborescence source.	Blue teams, auditeurs
`--probe`	Confirmer qu'un écouteur TCP est joignable et que les options SYN IPv4 atteignent la pile.	Red teams, blue teams
`--race`	Oracle de course basé sur marqueur. Envoie des SYN forgés et inspecte les SYN-ACK pour détecter la réutilisation de marqueur entre flux.	Red teams (Prob)
`--pcap`	Analyse hors ligne de pcap. Détecte les preuves d'UAF et les candidats pointeurs de noyau.	Blue teams (Partiel)
`--map`	Récupération du décalage KASLR à partir de pointeurs de texte divulgués à l'aide d'un `System.map`.	Red teams (Partiel)
`--harden`	Appliquer ou prévisualiser les atténuations (désactivation de MPTCP, désactivation de la migration, suppression des options IP).	Blue teams (Prob)

Étiquettes de fiabilité

Étiquette	Signification
(sans étiquette)	Déterministe. Même entrée, même sortie.
(Prob)	Les résultats de course peuvent varier entre les exécutions. L'outil répète les tentatives pendant une durée limitée.
(Partiel)	Dépend d'une entrée correcte. L'outil fonctionne lorsqu'un pcap valide ou un `System.map` correspondant est fourni.

Populaires

CVE-2026-98432-PoC-Exploit