cve-2026-98432-mitigation

Linux सर्वरों के लिए अस्थायी सुरक्षा: संकीर्ण IPv4 TCP फ़िल्टर, स्थिति जाँच, बैकअप और रोलबैक। ऑडिट कर्नेल सुधार को फ़िल्टर के कार्य से अलग करता है।

Audit:       работающее ядро → пакет → основание → UNKNOWN при нехватке данных
Protection:  inet + bridge → строгая проверка → откат через 180 секунд
Validation:  обычный TCP / IP options / UDP в отдельном namespace
Monitoring:  проверка по таймеру → журнал ошибок, без изменения firewall

यह कर्नेल पैच नहीं है और न ही सभी प्रकार के शोषण को समाप्त करने की गारंटी है। स्क्रिप्ट CVE-2026-98432 के ज्ञात IPv4 TCP/IP-options पथ के लिए एक संकीर्ण नेटवर्क फ़िल्टर स्थापित करती है। अंतिम समाधान — इसी CVE के लिए पुष्टि किए गए सुधार वाला कर्नेल और उसमें बूट करना है।

सिफ़ारिशों की प्रासंगिकता 1 नवंबर 2026 को जाँची गई थी। लागू करने से पहले अपने डिस्ट्रीब्यूशन के निर्माता से नवीनतम स्थिति जाँचें।

केवल GODEBUG पर्याप्त क्यों नहीं है

Anthropic के डेमो में MPTCP listener का उपयोग किया गया था। Go Security Team चेतावनी देती है: त्रुटि स्वयं कर्नेल के सामान्य IPv4 TCP कोड में है, इसलिए MPTCP-सॉकेट का न होना सुरक्षा सिद्ध नहीं करता। GODEBUG=multipathtcp=0 ज्ञात आक्रमण पथ पर एक अतिरिक्त प्रतिबंध है, कर्नेल सुधार का विकल्प नहीं।

यह स्क्रिप्ट MPTCP नहीं बदलती, अपडेट स्थापित नहीं करती, एप्लिकेशन पुनः आरंभ नहीं करती और सर्वर को रीबूट नहीं करती। फ़िल्टर पहले से खुले listeners के लिए भी काम करता है।

वास्तव में क्या अवरुद्ध होता है

दो अलग nftables तालिकाएँ:

• inet cve_2026_98432_guard: 20 बाइट से अधिक IP-हेडर लंबाई वाले IPv4 TCP-पैकेट;
• bridge cve_2026_98432_guard: ब्रिज पर समान पैकेट।

शेष ट्रैफ़िक मौजूदा नियमों तक आगे बढ़ता है। पूर्ण flush ruleset नहीं है, Docker/Kubernetes/SSH और अन्य सेवाओं के नियम प्रतिस्थापित नहीं होते।

यह IPv4 options की फ़िल्टरिंग है, TCP options की नहीं। सामान्य TCP timestamps, window scaling, SACK और मानक SSH/HTTPS कनेक्शन इस शर्त से अवरुद्ध नहीं होते। IPv4 options वाला वैध TCP ट्रैफ़िक भी अस्वीकृत होगा: अपने नेटवर्क की आवश्यकताएँ जाँचें।

समर्थित इंस्टॉलेशन

Linux, root, nft, Python 3.8+, Bash और systemd तथा कर्नेल में nftables inet/bridge समर्थन आवश्यक है। स्क्रिप्ट डिस्ट्रीब्यूशन का firewall-सेवा सक्षम नहीं करती और निर्भरताएँ स्थापित नहीं करती। --check जाँच लागू करने से पहले आवश्यक क्षमताओं की अनुपस्थिति का पता लगाती है।

यदि यह सर्वर की नीति के अनुरूप हो तो अनुपस्थित टूल स्थापित करने का उदाहरण:

# Debian / Ubuntu:
sudo apt-get install nftables python3
# RHEL / Rocky / AlmaLinux:
sudo dnf install nftables python3

OpenWrt, RouterOS, BSD, Windows, पुराने NAS, बिना root/CAP_NET_ADMIN वाले कंटेनर और बिना systemd वाले सिस्टम इस इंस्टॉलर द्वारा सेवा नहीं किए जाते। इनके लिए निर्माता के अलग निर्देश आवश्यक हैं। स्क्रिप्ट को सार्वभौमिक भेद्यता स्कैनर नहीं माना जा सकता। मैन्युअल प्रोफ़ाइल Alpine/WSL के लिए अलग निर्देश देखें।

पहले — ऑडिट

bash mitigate.sh --audit
sudo bash mitigate.sh --audit --json

ऑडिट केवल मेटाडेटा और सेटिंग्स पढ़ता है। यह नेटवर्क स्कैन नहीं करता, एक्सप्लॉइट नहीं चलाता, अपडेट डाउनलोड नहीं करता और firewall नहीं बदलता। root के बिना कुछ परिणाम UNKNOWN होंगे। रिपोर्ट में इंटरफ़ेस नाम और PID हो सकते हैं; प्रकाशन से पहले इसे अनामीकृत करें।

JSON फ़ील्ड	इसका अर्थ
patch.state	चालू कर्नेल के लिए PATCHED, VULNERABLE या UNKNOWN
enforcement.enforcement	ACTIVE_VERIFIED केवल तभी जब दोनों तालिकाएँ ठीक-ठीक मेल खाएँ
persistence.state	CONFIGURED — unit सक्षम है; वास्तविक reboot से इसकी पुष्टि नहीं हुई
coverage.state	PARTIAL_OR_UNKNOWN: namespaces/CNI/NetLabel के लिए अलग विश्लेषण आवश्यक है
rollback_timer, monitor_timer	स्वचालित रोलबैक और वैकल्पिक निगरानी की स्थिति

schema_version: 1। --audit के लिए निकास कोड 0 का अर्थ है कि रिपोर्ट संग्रह पूर्ण हुआ, न कि कोई भेद्यता नहीं है। स्वतंत्र फ़ील्ड और reason जाँचें।

Patch assessment चालू कर्नेल की तुलना सटीक पैकेज से करता है। अंतर्निहित vendor-baselines 01.11.2026 को केवल Debian 12/13 के लिए सत्यापित हैं: linux 6.1/6.12 और bookworm linux-6.12। ये Debian tracker पर आधारित हैं। अन्य शाखाओं, Ubuntu, WSL और असत्यापित डिस्ट्रीब्यूशन के लिए परिणाम UNKNOWN ही रहता है, और इसे uname संख्या या changelog में CVE के एकल उल्लेख से नहीं निकाला जाता। ज्ञात vendor trackers के लिए रिपोर्ट में लिंक होता है। यह पैकेज मेटाडेटा पर विश्वास है, बाइनरी का प्रमाणन नहीं; custom kernels और livepatch अलग से जाँचे जाते हैं।

ऑडिट 32 दृश्यमान netns तक सीमित है: यह MPTCP-श्रोताओं की संख्या दिखाता है, लेकिन namespaces की कवरेज सिद्ध नहीं करता। पर्याप्त डेटा न होने पर CIPSO UNKNOWN रहता है; netlabelctl का अभाव labeling के अभाव को सिद्ध नहीं करता।

व्यवस्थापक द्वारा त्वरित अनुप्रयोग

पहले कोड डाउनलोड करें और पढ़ें। curl | sudo bash का उपयोग न करें।

git clone https://github.com/ZombiePm/cve-2026-98432-mitigation.git
cd cve-2026-98432-mitigation
less mitigate.sh
sudo bash mitigate.sh --check
sudo bash mitigate.sh --apply

NetLabel/CIPSO या MLS-नीति का पता चलने पर, एप्लिकेशन इंस्टॉलेशन में बदलाव से पहले रुक जाता है। संगतता विश्लेषण के बाद, जोखिम की स्पष्ट पुष्टि:

sudo bash mitigate.sh --apply --accept-ipv4-options-risk

यह फ़्लैग IP options वाले वैध ट्रैफ़िक को बाधित करने का जोखिम स्वीकार करता है, न कि सुरक्षा का विस्तार करता है। यदि labeling के कोई संकेत नहीं मिले, तो भी संगतता UNKNOWN के रूप में चिह्नित की जाती है।

--apply के बाद 180 सेकंड में स्वचालित रोलबैक लागू होता है। मौजूदा टर्मिनल सुरक्षित रखें। सर्वर से नया SSH कनेक्शन खोलें और महत्वपूर्ण सेवाओं को बाहर से जाँचें: VPN, साइटें, API, मेल, क्लस्टर संचार।

यदि सब कुछ काम कर रहा है, तो नए कनेक्शन से:

cd cve-2026-98432-mitigation
sudo bash mitigate.sh --status
sudo bash mitigate.sh --confirm

--confirm रोलबैक टाइमर को रद्द कर देता है। इसके बिना सुरक्षा स्वचालित रूप से हटा दी जाएगी। पुष्टि के बाद systemd अगली सर्वर बूट पर फ़िल्टर लोड करेगा। पुष्टि या मैन्युअल रोलबैक से पहले सर्वर को पुनः आरंभ न करें।

एक बार में एक नोड लागू करें। Kubernetes और क्लस्टर के लिए, पहले सुनिश्चित करें कि कनेक्टिविटी बनी रहे, फिर अगले नोड पर जाएँ।

स्थिति की जाँच

sudo bash mitigate.sh --status
sudo nft list table inet cve_2026_98432_guard
sudo nft list table bridge cve_2026_98432_guard
systemctl status cve-2026-98432-guard.service
journalctl -u cve-2026-98432-guard.service --no-pager

packets 0 काउंटर का अर्थ है कि कोई भी पैकेट मेल नहीं खाया, न कि सुरक्षा का अभाव। MPTCP का उपयोग करने वाले प्रोग्रामों की अलग से जाँच:

sudo ss -Mlnp

यदि आप केवल MPTCP देखना चाहते हैं तो -t न जोड़ें: यह सामान्य TCP सॉकेट को भी चयन में जोड़ देगा। MPTCP का खाली आउटपुट भी CVE के उपचार की पुष्टि नहीं करता।

रीबूट और firewall के किसी भी परिवर्तन/रीलोड के बाद --status दोहराएँ। कोई अन्य व्यवस्थापक या firewall-प्रबंधक जो पूर्ण flush ruleset निष्पादित करता है, इन तालिकाओं को हटा सकता है। ऐसी स्थिति में, पहले नियंत्रक कॉन्फ़िगरेशन को सुलझाएँ; सहेजे गए फ़िल्टर को पुनः लोड करने के लिए:

sudo systemctl restart cve-2026-98432-guard.service

वैकल्पिक स्थिति जाँच

नए SSH कनेक्शन से जाँच और --confirm के बाद:

sudo bash mitigate.sh --watch-enable
systemctl status cve-2026-98432-check.timer
journalctl -u cve-2026-98432-check.service --no-pager
sudo bash mitigate.sh --watch-disable

टाइमर हर 60 सेकंड में सख्त --status निष्पादित करता है, बूट के बाद पहली जाँच दो मिनट बाद होती है। यह नियमों को पुनर्स्थापित नहीं करता, sysctl नहीं बदलता और बाहरी सूचनाएँ नहीं भेजता। failed unit को अपनी मॉनिटरिंग से जोड़ें। जाँचों के बीच फ़िल्टर-रहित अंतराल संभव है; यह निरंतर सुरक्षा नहीं है। --rollback इस टाइमर को भी अक्षम कर देता है।

रोलबैक