Rileva CVE-2026-98432 sul kernel Linux in esecuzione e applica il kernel ufficiale corretto solo sulle distribuzioni verificate (Debian 12/13, Amazon Linux 2/2023). Ubuntu/RHEL solo rilevamento; Rocky/Alma/Oracle/Fedora/SUSE/Arch/Alpine identificati ma non corretti automaticamente.
简体中文 | English
Rileva se il kernel attualmente in esecuzione su un server Linux è interessato da CVE-2026-98432 e installa il pacchetto kernel ufficiale di correzione sulle distribuzioni per cui l'adattamento e la verifica sono già stati completati. Lo strumento copre l'identificazione della distribuzione, la mappatura dal kernel al pacchetto software, la determinazione dello stato della vulnerabilità, l'installazione del kernel e la verifica successiva all'installazione; non modifica la configurazione applicativa e non riavvia automaticamente il server.
La correzione automatica copre solo Debian 12/13 e Amazon Linux 2/2023. Ubuntu, Red Hat Enterprise Linux e CloudLinux eseguono solo il rilevamento: i pacchetti ufficiali di correzione di CloudLinux sono già stati rilasciati, ma sono soggetti a distribuzione graduale e requisiti di sottoscrizione, quindi lo strumento fornisce solo la versione esatta e il canale. Le altre distribuzioni eseguono solo identificazione e output informativo, senza entrare nel flusso di installazione. Per lo stato specifico vedere la matrice di supporto delle distribuzioni.
Versione corrente v1.3.0, il registro delle modifiche è in CHANGELOG.md.
| Voce | Contenuto |
|---|---|
| Identificativo | CVE-2026-98432 |
| Componente | Sottosistema IPv4 del kernel Linux (tcp_v4_syn_recv_sock, tcp_v4_reqsk_destructor) |
| Tipo | Use-after-free |
| Condizione di attivazione | Durante l'elaborazione concorrente di SYN TCP ritrasmessi, o durante la migrazione di socket di richiesta con tcp_migrate_req abilitato, inet_opt e ireq_opt possono essere liberati prima della fine del periodo di grazia RCU |
| Impatto | Corruzione della memoria del kernel, che può causare denial of service. L'ambito specifico dell'impatto e le condizioni di sfruttamento sono soggetti agli avvisi di ciascuna distribuzione |
| Correzione upstream | ipv4: free inet_opt and ireq_opt after an RCU grace period, la correzione è entrata in 7.2.10, 6.18.56, 6.12.113, 6.1.190 (commit 26d4c36d318c) |
| Data di divulgazione | 2026-10-15 |
Se ciascuna distribuzione è interessata e quale sia la versione corretta dipende dagli avvisi ufficiali della distribuzione stessa. Questo strumento non deduce dalle conclusioni di altre distribuzioni, non inferisce lo stato di correzione della distribuzione dal numero di versione upstream e non valuta il punteggio CVSS né la complessità reale di attacco.
ID, VERSION_ID, VERSION_CODENAME da /etc/os-release e vi sovrappone informazioni specifiche della distribuzione (come il marcatore UEK di Oracle, il numero di versione di Amazon Linux). Non utilizza ID_LIKE per collassare l'identità: Ubuntu non viene trattato come Debian, Rocky Linux, AlmaLinux e Oracle Linux non vengono trattati come RHEL.uname -m (x86_64 diventa amd64, aarch64 diventa arm64), quindi esegue un controllo incrociato con l'architettura riportata dal gestore di pacchetti; in caso di discrepanza viene determinato UNKNOWN.--report genera la conclusione del rilevamento e le relative motivazioni, --list-distros restituisce la matrice di supporto.kernel-lts); l'identificazione supporta Rocky Linux, AlmaLinux, Oracle Linux, Fedora, openSUSE Leap, SUSE Linux Enterprise, Arch Linux, Alpine Linux. Se la versione della distribuzione non rientra nell'ambito adattato viene restituito UNSUPPORTED.--list-distros può essere eseguito da un utente normale.awk, sed, grep, tar, find; gli strumenti di gestione pacchetti corrispondenti alla distribuzione (dpkg/apt-get/apt-cache, rpm/dnf/yum, apk, pacman, zypper); l'installatore di bootstrap richiede inoltre curl e sha256sum (oppure shasum).curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash
install.sh è l'installer di bootstrap e non modifica il sistema: scarica l'archivio del codice sorgente del Tag corrispondente in una directory temporanea, lo estrae, legge SHA256SUMS dalla Release, verifica uno per uno fix.sh, install.sh, lib/*.sh, adapters/*.sh e data/*.yml, e solo dopo che tutte le verifiche sono passate esegue fix.sh con gli stessi parametri. Al termine del rilevamento mostra il piano di correzione; il kernel viene installato solo dopo la conferma tramite input Y. Il prompt di conferma viene letto da /dev/tty, quindi l'interazione funziona anche quando eseguito tramite pipe; sudo potrebbe richiedere l'inserimento della password.
La verifica segue il principio fail closed: se SHA256SUMS è mancante o vuoto, se il manifest non copre tutti gli script, se l'hash di un qualsiasi file non corrisponde, se l'archivio contiene percorsi assoluti o .., o se nel sistema mancano sha256sum e shasum, l'esecuzione viene interrotta dopo l'estrazione o prima dell'esecuzione, senza eseguire alcun codice degli strumenti. SHA256SUMS e il pacchetto sorgente provengono dallo stesso repository e non dispongono di una firma digitale indipendente, quindi non equivalgono a una verifica tramite firma. Prima dell'uso in ambienti di produzione si consiglia comunque di scaricare gli script e revisionarli autonomamente.
curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash -s -- --check
Legge solo lo stato del sistema, non aggiorna l'indice dei pacchetti, non installa pacchetti e non modifica la configurazione. --check vincola la fase di rilevamento e riparazione e non influisce sul comportamento di download di install.sh stesso. Quando l'indice dei pacchetti locale è vuoto, la versione candidata viene mostrata come sconosciuta ed è necessario eseguire prima manualmente apt-get update o dnf makecache.
curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash -s -- --yes