polikhronidi/cve-2026-98432-ubuntu-backportCandidato di backport per Ubuntu 6.8 convalidato rispetto al sorgente per la correzione upstream di Eric Dumazet relativa a CVE-2026-98432, con provenienza e CI. Non ancora compilato né testato all'avvio.
Stato: candidato convalidato a livello di sorgente. Non compilato, non testato all'avvio, non installato né pubblicato upstream.
Questo repository adatta la correzione upstream esistente di Eric Dumazet all'esatto albero dei sorgenti Ubuntu Ubuntu-6.8.0-147.147. Non rivendica la scoperta della vulnerabilità né la paternità della correzione upstream. L'autore originale e i trailer di revisione/approvazione upstream restano nella patch. Nessuna approvazione downstream del Developer Certificate of Origin è affermata a nome di alcuno.
La modifica ritarda la liberazione delle opzioni IPv4 fino al trascorrere di un periodo di grazia RCU in inet_sock_destruct() e tcp_v4_reqsk_destructor(). Si tratta delle stesse due sostituzioni semantiche presenti upstream; il contesto della patch è adattato a Ubuntu 6.8.
0495f811cae0b8b7c718d936a2057b25cee7cf0cAl momento della preparazione, il 2026-10-30, Ubuntu indicava la correzione per Noble come lavoro in corso in 6.8.0-149.149. Consultare il tracker prima di intraprendere nuovo lavoro; un kernel ufficiale corretto potrebbe sostituire questo candidato.
Requisiti: Python 3.9+, Git e accesso HTTPS all'host ufficiale dei sorgenti Ubuntu.
python3 tools/check_backport.py
Il checker scarica solo tre file dal commit fissato e verifica i loro hash SHA-256 prima di utilizzare un checkout temporaneo isolato. Verifica l'applicazione della patch, la presenza del campo callback RCU, le esatte due sostituzioni nel sorgente, l'applicazione inversa e il rifiuto dell'applicazione duplicata. È possibile utilizzare un albero dei sorgenti esistente senza modificarlo:
python3 tools/check_backport.py --source-dir /path/to/ubuntu-noble
Gli hash sorgente limitano intenzionalmente questo controllo a una sola versione esatta. Una
diversa revisione del kernel richiede una revisione separata. git apply --check
non stabilisce la compatibilità del compilatore né la sicurezza a runtime.
Il workflow GitHub Actions incluso convalida il sorgente su push e pull
request rilevanti. I push rilevanti recuperano anche l'intero albero Ubuntu fissato, applicano il
candidato, configurano un kernel x86-64 con MPTCP e compilano le due unità di
traduzione modificate. Una voce manuale Run workflow può richiedere la stessa compilazione.
La prima esecuzione ospitata non ha raggiunto un runner né eseguito alcun passo; vedere
VALIDATION.md e la scheda Actions del repository. I controlli locali del sorgente sono passati.
La compilazione di due oggetti non è una build completa del kernel né un test a runtime.
L'installazione in produzione è al di fuori degli script in questo repository. Preferire l'aggiornamento di sicurezza ufficiale di Ubuntu quando sarà disponibile. Il filtro di rete temporaneo esistente rimane una misura separata e non è una patch del kernel.
Vedere VALIDATION.md per i controlli esatti completati e mancanti. Qui non c'è alcun exploit
né test che inneschi race condition. Non sono inclusi IP di produzione, nomi di servizi, credenziali,
dati dei clienti, chiavi SSH o log operativi.
La licenza della patch del kernel e i trailer originali sono mantenuti dall'upstream.
Il checker e il workflow sono distribuiti sotto GPL-2.0-only; il testo della licenza
e i metadati di licenza del kernel sono in LICENSES/GPL-2.0.txt.