CVE-2026-98432 डिटेक्शन टूलकिट

CVE-2026-98432 के प्रति एक्सपोज़र का पता लगाने के लिए टूल्स — एक Linux kernel IPv4 TCP use-after-free (CVSS 9.8) जो kernel 4.4 से लेकर pre-fix stable branches तक प्रभावित करता है।

टूल्स

फ़ाइल	उद्देश्य	आवश्यकता
check-cve-2026-98432.sh	स्थानीय kernel संस्करण जाँच — patched/vulnerable की पुष्टि करता है	Shell एक्सेस (SSH/console)
probe-mptcp.py	रिमोट MPTCP क्षमता प्रोब — प्रदर्शित exploit vector का पता लगाता है	Python 3.9+, प्रोबिंग होस्ट पर Linux kernel ≥ 5.6
scan-and-probe.sh	nmap पोर्ट डिस्कवरी को MPTCP प्रोब से जोड़ता है	nmap + उपरोक्त

त्वरित शुरुआत

स्थानीय जाँच (प्रत्येक सर्वर पर चलाएँ)

chmod +x check-cve-2026-98432.sh
./check-cve-2026-98432.sh

एग्ज़िट कोड: 0 patched, 1 vulnerable, 2 reboot या मैन्युअल जाँच आवश्यक।

रिमोट MPTCP प्रोब (kernel ≥ 5.6 वाले किसी भी Linux बॉक्स से चलाएँ)

एकल होस्ट, ज्ञात पोर्ट:

python3 probe-mptcp.py <HOST> <PORT> [PORT ...]
python3 probe-mptcp.py 192.168.1.1 22 443 5060

एकल होस्ट, nmap के साथ सभी खुले TCP पोर्ट स्वतः खोजें:

python3 probe-mptcp.py <HOST> $(nmap -Pn --open -p- <HOST> -oG - | grep -oP '\d+/open/tcp' | cut -d/ -f1 | tr '\n' ' ')

दोनों <HOST> को लक्ष्य IP से बदलें।

एकाधिक होस्ट:

chmod +x scan-and-probe.sh
./scan-and-probe.sh <HOST1> <HOST2> <HOST3>

टूल्स क्या जाँचते हैं

check-cve-2026-98432.sh

1. CVE के लिए vendor changelog की क्वेरी करता है (Debian/Ubuntu/RHEL पर प्रामाणिक)।
2. प्रत्येक stable branch के लिए पहले fixed संस्करण के विरुद्ध uname -r की तुलना करने पर fallback करता है।
3. लंबित reboots को चिह्नित करता है (patched kernel इंस्टॉल है लेकिन boot नहीं हुआ)।
4. MPTCP स्थिति की रिपोर्ट करता है (net.mptcp.enabled और सक्रिय MPTCP listeners)।

probe-mptcp.py

एक मानक MPTCP-अनुरोधक TCP कनेक्शन खोलता है और जाँचता है कि सर्वर ने MPTCP पर बातचीत की या सादे TCP पर fallback किया।

• PLAIN-TCP — सर्वर ने MPTCP पर बातचीत नहीं की; प्रदर्शित root-exploit vector अनुपस्थित।
• MPTCP-ACTIVE — सर्वर ने MPTCP पर बातचीत की; एक्सपोज़र vector मौजूद।
• CLOSED — पोर्ट filtered या refused।

सुरक्षित: कोई IP options नहीं, कोई resend/race नहीं, कोई exploit trigger नहीं। यह MPTCP capability flag के साथ एक सामान्य TCP handshake है।

सीमा: PLAIN-TCP का अर्थ patched नहीं है। इसका अर्थ है कि प्रदर्शित vector बंद है। अंतर्निहित race सादे IPv4 TCP में मौजूद है — केवल kernel संस्करण ही fix की पुष्टि करता है।

Fixed kernel संस्करण

Branch	पहला fixed
5.10.x	5.10.272
5.15.x	5.15.223
6.1.x	6.1.190
6.6.x	6.6.159
6.12.x	6.12.113
6.18.x	6.18.56
7.2.x	7.2.10
7.3+	रिलीज़ पर fixed

तत्काल शमन (यदि patching अभी संभव नहीं है)

sysctl -w net.mptcp.enabled=0
echo 'net.mptcp.enabled=0' > /etc/sysctl.d/90-disable-mptcp.conf
sysctl --system

यह kernel-व्यापी रूप से MPTCP को अक्षम करता है, जिससे प्रदर्शित root-exploit पथ बंद हो जाता है। reboot आवश्यक नहीं; reboots के बीच बना रहता है। अधिकांश सेवाएँ कभी MPTCP का उपयोग नहीं करतीं, इसलिए कार्यात्मक प्रभाव शून्य है।

संदर्भ

• The Hacker News — Linux Kernel TCP Flaw With 9.8 CVSS
• Debian tracker — CVE-2026-98432
• Kernel fix commit
• Anthropic research post

लाइसेंस

MIT