knneth/cve-2026-98432-dkmsUbuntu DKMS कर्नेल मॉड्यूल जो प्रत्येक नेटवर्क नेमस्पेस में एक netfilter हुक के माध्यम से IP विकल्प ले जाने वाले IPv4 TCP पैकेटों को गिराकर CVE-2026-98432 को कम करता है।
ipopt_guard के लिए Ubuntu DKMS पैकेज, एक कर्नेल मॉड्यूल जो IP विकल्प ले जाने वाले IPv4 TCP पैकेटों को गिराकर CVE-2026-98432 को कम करता है। यह हर नेटवर्क नेमस्पेस में एक netfilter हुक पंजीकृत करता है, इसलिए इसे किसी फ़ायरवॉल कॉन्फ़िगरेशन की आवश्यकता नहीं है और यह nft flush ruleset, firewalld या ufw से अप्रभावित रहता है।
यह एक शमन है, समाधान नहीं। सभी समर्थित कर्नेल में अपस्ट्रीम समाधान आ जाने के बाद पैकेज हटा दें।
make
.deb पैरेंट डायरेक्टरी में लिखा जाता है।
मॉड्यूल इंस्टॉल के समय और बूट पर cve-2026-98432-dkms.service द्वारा लोड किया जाता है, और नए कर्नेल के हेडर इंस्टॉल होने पर DKMS द्वारा पुनर्निर्मित किया जाता है।
systemctl status cve-2026-98432-dkms # failed = not protected
cat /sys/module/ipopt_guard/parameters/dropped # packets dropped
journalctl -k --grep ipopt_guard # rate-limited drop log
DKMS kernel-is-fixed में सूचीबद्ध कर्नेल को छोड़ देता है, और सेवा उन पर लोड होना छोड़ देती है। सूचीबद्ध कर्नेल इस पैकेज द्वारा असंरक्षित रूप से चलते हैं, इसलिए किसी कर्नेल को केवल तभी सूचीबद्ध करें जब उसका फ़िक्स होना पुष्ट हो चुका हो। जो सूचीबद्ध नहीं हैं वे मॉड्यूल बनाए रखते हैं।
प्रत्येक रिलीज़ से पहले, तालिका की तुलना https://ubuntu.com/security/CVE-2026-98432 से करें। Ubuntu 22.04, 24.04 और 26.04 कवर किए गए हैं।
Ubuntu 22.04 पर, dkms autoinstall छोड़े गए कर्नेल के लिए एक त्रुटि प्रिंट करता है। यह हानिरहित है, क्योंकि DKMS 2.8.7 बहिष्करण को विफलता की तरह ही रिपोर्ट करता है। 22.04 पर वास्तविक बिल्ड विफलता भी कर्नेल अपग्रेड को विफल नहीं करती, इसलिए इसका पता लगाने के लिए सेवा की स्थिति पर भरोसा करें।
ireq_opt सेट करता है, इसलिए इसका उपयोग करने वाली साइटें संरक्षित नहीं हैं। मॉड्यूल उनके लेबल किए गए TCP ट्रैफ़िक को भी गिरा देता है। echo N > /sys/module/ipopt_guard/parameters/enabled से ड्रॉपिंग बंद करें, या /etc/modprobe.d/ में options ipopt_guard enabled=N के साथ स्थायी रूप से बंद करें।