CVE-2026-98432 — अस्थायी XDP शमन

स्थिति: अस्थायी शमन — स्थायी समाधान नहीं
परीक्षणित प्लेटफ़ॉर्म: Linux / Ubuntu 20.04 (इससे ऊपर के संस्करणों पर भी काम करना चाहिए) परीक्षणित कर्नेल: 5.15.0-124-generic (आवश्यक eBPF और सामान्य XDP कार्यक्षमता प्रदान करने वाले नए Linux कर्नेल पर काम करने की अपेक्षा है। लक्ष्य कर्नेल पर संगतता सत्यापित की जानी चाहिए।) कार्यान्वयन: eBPF XDP, सामान्य (SKB) मोड
दिनांक: 2026-11-03

---

1. उद्देश्य

यह परियोजना CVE-2026-98432 से संबद्ध IPv4/TCP आक्रमण सतह के लिए एक अस्थायी नेटवर्क-स्तरीय शमन प्रदान करती है।

इसका उद्देश्य उस समय जोखिम को कम करना है जब तक कि एक संशोधित कर्नेल तैयार, स्थापित और तैनात किया जा रहा हो।

यह शमन IPv4 हेडर विकल्पों वाले आने वाले IPv4 TCP पैकेटों को अस्वीकार करता है। यह XDP इनग्रेस हुक पर किया जाता है, इससे पहले कि पैकेट सामान्य IPv4 और TCP नेटवर्किंग स्टैक तक पहुँचे।

यह जानबूझकर एक संकीर्ण, फेल-ओपन शमन है:

• IPv4 विकल्पों वाले मेल खाते IPv4/TCP पैकेट छोड़ दिए जाते हैं।
• अन्य ट्रैफ़िक सामान्य रूप से पास हो जाता है।
• अपूर्ण या अधूरे IPv4 हेडर को अंधाधुंध त्यागने के बजाय पास किया जाता है।
• कोई TCP कनेक्शन स्थिति बनाए नहीं रखी जाती।
• कोई पेलोड निरीक्षण या एप्लिकेशन-लेयर प्रोसेसिंग नहीं होती।

यह कर्नेल समाधान नहीं है। यह एक अस्थायी उपाय है जिसका उद्देश्य तब तक समय क्रय करना है जब तक कि एक संशोधित कर्नेल संकलित, स्थापित और बूट-परीक्षण न हो जाए।

2. यह शमन क्यों मौजूद है

भेद्य आक्रमण सतह IPv4 TCP ट्रैफ़िक और IPv4 हेडर विकल्पों के प्रबंधन से संबद्ध है।

IPv4 हेडर विकल्प सामान्य आधुनिक नेटवर्क ट्रैफ़िक में एक असामान्य विशेषता है। इनमें निम्नलिखित तंत्र शामिल हैं:

• Record Route (RR)
• Internet Timestamp
• Loose Source Route
• Strict Source Route
• Router Alert
• अन्य IPv4 विकल्प प्रकार

IPv4 हेडर में एक हेडर-लंबाई फ़ील्ड, IHL होता है, जिसे 32-बिट शब्दों में व्यक्त किया जाता है।

विकल्पों के बिना एक सामान्य IPv4 हेडर में होता है:

IHL = 5 (20 बाइट)

विकल्पों वाले IPv4 हेडर में होता है:

IHL > 5 (20 बाइट से अधिक)

XDP प्रोग्राम इस अंतर का उपयोग विस्तारित IPv4 हेडर वाले IPv4 TCP पैकेटों को अस्वीकार करने के लिए करता है।

यह उस विशिष्ट पैकेट वर्ग को कर्नेल के सामान्य TCP प्रोसेसिंग पथ में जाने से बचाता है।

3. XDP फ़िल्टर कैसे काम करता है

प्रोग्राम XDP सामान्य मोड का उपयोग करके नेटवर्क इंटरफ़ेस से जोड़ा जाता है।

इसका प्रोसेसिंग क्रम है:

1. Ethernet हेडर पढ़ें।
2. अधिकतम दो VLAN हेडर पहचानें।
3. IPv4 ट्रैफ़िक की पहचान करें।
4. जाँचें कि निश्चित IPv4 हेडर मौजूद है।
5. IPv4 संस्करण और IHL की जाँच करें।
6. जाँचें कि घोषित किसी भी विकल्प सहित पूरा IPv4 हेडर मौजूद है।
7. यदि प्रोटोकॉल TCP है और IHL > 5 है, तो पैकेट छोड़ दें।
8. अन्यथा, पैकेट को सामान्य नेटवर्किंग स्टैक को पास करें।

सरलीकृत निर्णय तर्क:

if (ether_type == IPv4) {
    if (ipv4_header_is_incomplete)
        PASS;

    if (ipv4_version != 4)
        PASS;

    if (ipv4_header_length_is_invalid)
        PASS;

    if (ipv4_protocol == TCP && ipv4_ihl > 5)
        DROP;
}

PASS;

वास्तविक कार्यान्वयन दो VLAN टैग तक भी संभालता है।

XDP क्रियाएँ

स्थिति	क्रिया
IPv4 TCP, IHL 5 से अधिक	DROP
IPv4 TCP, IHL 5 के बराबर	PASS
IPv4 UDP	PASS
अन्य IPv4 प्रोटोकॉल	PASS
IPv6	PASS
गैर-IP ईथरनेट ट्रैफ़िक	PASS
अपूर्ण/कटा हुआ IPv4 हेडर	PASS

कार्यान्वयन TCP विकल्पों को पार्स नहीं करता। TCP टाइमस्टैम्प, SACK और विंडो स्केलिंग IPv4 हेडर विकल्प नहीं हैं और अप्रभावित रहते हैं।

3b. Netfilter या iptables के बजाय XDP क्यों?

यह शमन XDP (eXpress Data Path) का उपयोग Netfilter/iptables के बजाय इसलिए करता है क्योंकि उद्देश्य मेल खाने वाले पैकेटों को Linux नेटवर्किंग रिसीव पथ में यथासंभव जल्दी त्यागना है।

पैकेट प्रसंस्करण स्थिति

जेनेरिक XDP (SKB मोड) के साथ, फ़िल्टर इनग्रेस चरण पर चलता है, इससे पहले कि पैकेट सामान्य नेटवर्क प्रोटोकॉल स्टैक में प्रवेश करे और इससे पहले कि Netfilter के सामान्य IPv4 प्रसंस्करण हुक चलें।

इस विशेष शमन के लिए इसके कई लाभ हैं:

• प्रारंभिक अस्वीकृति: IPv4 हेडर विकल्पों वाले IPv4 TCP पैकेट सामान्य IPv4 और TCP प्रसंस्करण से पहले त्याग दिए जाते हैं।
• कम प्रसंस्करण ओवरहेड: त्यागे गए पैकेट आगे के नेटवर्किंग परतों से नहीं गुज़रते, जिसमें सामान्य Netfilter प्रसंस्करण पथ भी शामिल है।
• संकीर्ण निष्पादन दायरा: प्रोग्राम केवल ईथरनेट, वैकल्पिक VLAN हेडर और प्रासंगिक IPv4 हेडर फ़ील्ड का निरीक्षण करता है। इसे कनेक्शन ट्रैकिंग, NAT या फ़ायरवॉल नियम मूल्यांकन की आवश्यकता नहीं है।
• पूर्वानुमेय फ़िल्टरिंग तर्क: निर्णय IPv4 प्रोटोकॉल फ़ील्ड और IHL मान पर आधारित है, जिससे फ़िल्टर छोटा और ऑडिट करने में सरल हो जाता है।
• स्वतंत्र परिनियोजन: शमन को eBPF प्रोग्राम के रूप में लागू किया गया है और इसे मौजूदा iptables या nftables फ़ायरवॉल नियमों को संशोधित करने की आवश्यकता नहीं है।

iptables या Netfilter क्यों नहीं?

iptables और nftables इसी फ़िल्टरिंग नियम को लागू करने के पूरी तरह से वैध तरीके हैं। वास्तव में, Netfilter-आधारित फ़िल्टरिंग एक उचित विकल्प है और उन स्थितियों में बेहतर हो सकती है जहाँ व्यवस्थापक पहले से ही फ़ायरवॉल के माध्यम से इनग्रेस फ़िल्टरिंग को केंद्रीय रूप से प्रबंधित करता है।

हालाँकि, वे तंत्र XDP जेनेरिक मोड की तुलना में रिसीव पथ में बाद में संचालित होते हैं।

इस विशिष्ट उपयोग के मामले के लिए, सामान्य IPv4/TCP प्रसंस्करण से पहले फ़िल्टरिंग वांछनीय है क्योंकि भेद्यता IPv4 हेडर विकल्पों वाले IPv4 TCP पैकेटों के प्रबंधन से संबंधित है।

जेनेरिक XDP (SKB मोड)

यह परियोजना जानबूझकर ड्राइवर-विशिष्ट नेटिव XDP के बजाय जेनेरिक XDP का उपयोग करती है।

जेनेरिक XDP SKB-आधारित रिसीव पथ पर संचालित होता है और इसलिए उन नेटवर्क ड्राइवरों के साथ व्यापक संगतता प्रदान करता है जो नेटिव XDP समर्थन लागू नहीं करते।

इसका व्यापार-बंद यह है कि जेनेरिक XDP नेटिव ड्राइवर-मोड XDP के समान प्रारंभिक निष्पादन बिंदु या प्रदर्शन विशेषताएँ प्रदान नहीं करता। इसे हार्डवेयर-ऑफ़लोडेड XDP के साथ भ्रमित नहीं किया जाना चाहिए।

डिज़ाइन निर्णय

XDP का चयन इस धारणा पर आधारित नहीं है कि Netfilter असुरक्षित या अनुपयुक्त है।

यह इस विशेष पैकेट फ़िल्टर को Linux रिसीव पथ में यथासंभव जल्दी रखने पर आधारित है, जबकि जेनेरिक XDP के माध्यम से व्यापक संगतता बनाए रखता है।

उद्देश्य प्रासंगिक पैकेट वर्ग को भेद्य IPv4/TCP प्रसंस्करण पथ तक पहुँचने से पहले अस्वीकार करना है, होस्ट फ़ायरवॉल को प्रतिस्थापित करना नहीं।

4. यह शमन क्या अवरुद्ध करता है

फ़िल्टर IPv4 हेडर विकल्पों वाले सभी IPv4 TCP पैकेटों को अवरुद्ध करता है, केवल Record Route को नहीं।

इसमें उदाहरण के लिए, निम्नलिखित वाले पैकेट शामिल हैं:

• Record Route
• IPv4 Timestamp
• Loose Source Route
• Strict Source Route
• Router Alert, जब IPv4 TCP पैकेट में ले जाया जाता है
• अन्य IPv4 विकल्प

फ़िल्टर व्यक्तिगत IPv4 विकल्प प्रकारों के बीच अंतर नहीं करता। जब भी IPv4 हेडर लंबाई 20 बाइट से अधिक होती है, यह पूरे IPv4 TCP पैकेट को अस्वीकार कर देता है।

यह जानबूझकर है: इस अस्थायी शमन के लिए एक व्यापक और सरल नियम अपूर्ण विकल्प-प्रकार ब्लैकलिस्ट से बेहतर है।

5. यह क्या अवरुद्ध नहीं करता

इस शमन का दायरा जानबूझकर सीमित है।

यह निम्नलिखित नहीं करता:

• कमजोर कर्नेल कोड को ठीक करें।
• उन इंटरफ़ेस की सुरक्षा करें जिन पर XDP प्रोग्राम संलग्न नहीं है।
• संलग्न ingress हुक को बायपास करने वाले पथों से आने वाले IPv4 TCP पैकेट को फ़िल्टर करें।
• लूपबैक ट्रैफ़िक को फ़िल्टर करें।
• IPv6 ट्रैफ़िक को फ़िल्टर करें।
• IPv4 UDP या अन्य गैर-TCP प्रोटोकॉल को फ़िल्टर करें।
• 20-बाइट IPv4 हेडर वाले सामान्य IPv4 TCP पैकेट को अस्वीकार करें।
• TCP विकल्पों का निरीक्षण करें।
• TCP पेलोड का निरीक्षण करें।
• असंबंधित कर्नेल कमजोरियों का पता लगाएं या उन्हें रोकें।
• कर्नेल सुरक्षा अपडेट को प्रतिस्थापित करें।

यह सामान्य IP पैकेट सत्यापन भी नहीं करता है। प्रोग्राम द्वारा लागू किए गए विशिष्ट जाँचों के बाहर के अपूर्ण या विकृत पैकेट अभी भी कर्नेल को पास किए जा सकते हैं।

XDP के सफल परिनियोजन को इस बात का प्रमाण न मानें कि होस्ट अब कमजोर नहीं है।

6. आंकड़े

प्रोग्राम एक प्रति-CPU सरणी मैप का उपयोग करता है:

cve_2026_98432_stats

मैप गुण:

• प्रकार: percpu_array
• कुंजी आकार: 4 बाइट
• मान आकार: 8 बाइट
• अधिकतम प्रविष्टियाँ: 2

काउंटर:

कुंजी	अर्थ
0	IPv4 विकल्पों वाले IPv4 TCP पैकेट गिराए गए
1	अपूर्ण/कटे हुए IPv4 हेडर पास किए गए

चूँकि यह प्रति-CPU मैप है, मान प्रत्येक CPU के लिए अलग-अलग बनाए रखे जाते हैं।