CVE-2026-98432 - Scanner di vulnerabilità Use-After-Free nel TCP IPv4 del kernel Linux

Uno strumento di audit di rete per Windows e Windows Server progettato per valutare gli host Linux remoti per CVE-2026-98432 — una vulnerabilità critica di esecuzione di codice in remoto (RCE) e di denial-of-service del kernel che interessa lo stack di rete TCP IPv4 del kernel Linux.

Panoramica della vulnerabilità

Metrica	Dettagli
ID CVE	CVE-2026-98432
Tipo di vulnerabilità	Use-After-Free (UAF) / Race Condition (CWE-416)
Punteggio CVSS v3.1	9.8 (Critico) — `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
Componente interessato	Networking IPv4 del kernel Linux (`net/ipv4/tcp_ipv4.c`, `net/ipv4/af_inet.c`)
Versioni interessate	Versioni del kernel Linux 4.4 e successive (precedenti alle release corrette)
Vettore di sfruttamento	Attaccante di rete remoto non autenticato che invia pacchetti IPv4 TCP SYN manipolati con opzioni IP
Impatto	Esecuzione di codice in remoto (RCE) nello spazio del kernel, crash del sistema (Kernel Panic / DoS), corruzione della memoria

Causa tecnica alla radice

Durante un handshake TCP IPv4 in ingresso a tre vie (pacchetto SYN):

Se la richiesta di connessione TCP contiene opzioni IPv4 (inet_opt e ireq_opt), il kernel Linux memorizza una copia di queste opzioni in una struttura di richiesta di connessione in sospeso per rimandarle indietro nella risposta SYN-ACK.
Al completamento dell'handshake, la proprietà della struttura delle opzioni viene trasferita al socket figlio appena creato senza essere duplicata.
Nei kernel vulnerabili, i distruttori (inet_sock_destruct() e tcp_v4_reqsk_destructor()) liberavano queste opzioni immediatamente usando una kfree() sincrona.
In condizioni di race condition (come ritrasmissioni SYN o migrazioni dei socket di richiesta tra core della CPU), un altro core della CPU può leggere la struttura delle opzioni mentre questa viene liberata, innescando una condizione di Use-After-Free (UAF).

Poiché questo codice viene eseguito all'interno dello stack TCP del kernel prima che il traffico in ingresso raggiunga le applicazioni in spazio utente, qualsiasi porta TCP IPv4 in ascolto sul server espone il kernel a un potenziale sfruttamento remoto.

Versioni del kernel corrette

1. Release stabili upstream

La vulnerabilità è stata risolta upstream da Eric Dumazet (commit e3f33b0a1d89: "ipv4: free inet_opt and ireq_opt after an RCU grace period"). Versioni minime corrette:

Ramo 5.10: 5.10.272 o successiva
Ramo 5.15: 5.15.223 o successiva
Ramo 6.1: 6.1.190 o successiva
Ramo 6.6: 6.6.159 o successiva
Ramo 6.12: 6.12.113 o successiva
Ramo 6.18: 6.18.56 o successiva
Ramo 7.2: 7.2.10 o successiva
Ramo 7.3: 7.3.0 o successiva

2. Principali distribuzioni Linux

Ubuntu 24.04 LTS: Corretta nel pacchetto linux versione 6.8.0-149.149 o superiore
Ubuntu 22.04 LTS: Corretta nel pacchetto linux versione 5.15.0-203.213 o superiore
Ubuntu 26.04 LTS: Corretta nel pacchetto linux versione 7.0.0-43.43 o superiore
Ubuntu 26.10: Corretta nel pacchetto linux versione 7.3.0-10.10 o superiore
RHEL 8 / 9 / 10 & AlmaLinux / Rocky Linux: Corretta tramite gli avvisi di sicurezza del fornitore (RHSA / ALSA)

Architettura e funzionalità dello strumento

Lo scanner fornisce una verifica sicura e non distruttiva da qualsiasi workstation o server Windows:

Passo 1: Raggiungibilità di rete (ICMP Ping): Conferma la disponibilità dell'host e l'instradamento di rete.
Passo 2: Verifica dell'esposizione delle porte TCP ad alta velocità: Utilizza socket .NET asincroni non bloccanti per testare le porte TCP standard esposte (SSH 22, HTTP 80, HTTPS 443, Alt HTTP 8080/8443, MySQL 3306, PostgreSQL 5432, Redis 6379). Qualsiasi porta TCP IPv4 aperta indica che lo stack TCP del kernel sta attivamente ricevendo ed elaborando i pacchetti.
Passo 3: Verifica remota della versione del kernel SSH e delle patch: Si connette tramite OpenSSH nativo di Windows (ssh.exe) per interrogare in modo sicuro uname -r, /etc/os-release e le mitigazioni firewall attive senza eseguire payload di exploit dannosi.
Motore di verdetto e valutazione:
- VULNERABLE: L'host esegue una versione del kernel interessata senza la correzione.
- SECURE / PATCHED: L'host esegue una release del kernel corretta.
- MANUAL VERIFICATION: Un backport personalizzato o specifico del fornitore richiede una verifica manuale.

Come usarlo

Opzione 1: Esecuzione interattiva (consigliata)

Fai doppio clic su check_cve_2026_98432.bat oppure esegui da CMD:

.\check_cve_2026_98432.bat

Ti verrà chiesto di:

Inserire l'indirizzo IP del server Linux di destinazione (ad es. 192.168.1.100).
Visualizzare la valutazione dell'esposizione delle porte.
Facoltativamente, autenticarti tramite SSH per verificare la build esatta del kernel.

Opzione 2: Riga di comando PowerShell

Audit completo di rete + SSH:

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SshUser "admin"

Porta SSH personalizzata:

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SshPort 2222 -SshUser "ubuntu"

Solo esposizione delle porte di rete (salta l'autenticazione SSH):

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SkipSsh

Guida alla correzione e alla mitigazione

1. Correzione permanente (aggiornamento del kernel)

Applica gli aggiornamenti di sicurezza ufficiali dal repository della tua distribuzione e riavvia il server:

Ubuntu / Debian:

sudo apt update
sudo apt --only-upgrade install linux-image-generic
sudo reboot

RHEL / AlmaLinux / Rocky Linux / CentOS:
```
sudo dnf update kernel
sudo reboot
```
Arch Linux:
```
sudo pacman -Syu linux
sudo reboot
```
Verifica il kernel attualmente in esecuzione:
```
uname -r
```

2. Mitigazione temporanea tramite firewall (se il riavvio immediato non è possibile)

La vulnerabilità richiede pacchetti TCP contenenti opzioni IPv4. Se non è possibile riavviare immediatamente, scartare tutti i pacchetti TCP in ingresso che trasportano opzioni IPv4 utilizzando iptables:

# Insert rule at top of INPUT chain
sudo iptables -I INPUT 1 -p tcp -m ipv4options --any-opt -j DROP

# Persist the rule (Debian/Ubuntu)
sudo iptables-save | sudo tee /etc/iptables/rules.v4

# Persist the rule (RHEL/CentOS)
sudo service iptables save

(Nota: il traffico TCP standard su Internet raramente utilizza le opzioni IPv4, quindi eliminarle in genere non causa alcuna interruzione ai normali carichi di lavoro web, SSH o database).

Più Popolari

CVE-2026-98432-scan