CVEPoC

CVE-2026-98432 – Toolkit Use-After-Free nel TCP IPv4 di Linux

Solo uso etico – Test di sicurezza autorizzati

Questo repository fornisce strumenti esclusivamente per professionisti della sicurezza autorizzati, blue team e penetration tester. L'accesso non autorizzato a sistemi informatici è illegale ai sensi del CFAA (USA), Computer Misuse Act (Regno Unito), TCK 243/244 (Turchia) e leggi simili in tutto il mondo.

LinuxBanner

[*] Panoramica della vulnerabilità

CVE-2026-98432 è una use-after-free nello stack TCP IPv4 del kernel Linux. Un SYN in ingresso che trasporta opzioni IPv4 induce il kernel a salvare una copia di tali opzioni sul request socket. Se il SYN viene ritrasmesso nel momento giusto, una CPU può liberare quella copia mentre un'altra la sta ancora leggendo per costruire il SYN-ACK, causando una use-after-free in ip_options_build().

Esiste un secondo trigger quando il server migra le richieste di connessione in sospeso tra socket (net.ipv4.tcp_migrate_req=1, oppure un programma BPF_SK_REUSEPORT_SELECT_OR_MIGRATE). Entrambi i trigger condividono la stessa causa radice: inet_sock_destruct() e tcp_v4_reqsk_destructor() liberano le opzioni con una semplice kfree() invece di attendere un periodo di grazia RCU.

> Come funziona

Opzioni salvate sul SYN – tcp_v4_save_options() memorizza le opzioni IPv4 in ingresso (ireq_opt) sul request socket.
Trasferimento di proprietà – tcp_v4_syn_recv_sock() passa ireq_opt al socket figlio senza copiarlo.
Free concorrente – il socket figlio viene distrutto e inet_sock_destruct() rilascia inet_opt con una semplice kfree().
Lettura concorrente – un SYN ritrasmesso raggiunge tcp_v4_send_synack() → ip_options_build(), che legge le opzioni già liberate.
UAF – corruzione della memoria del kernel, crash (DoS) e, in condizioni specifiche (binario non-PIE, listener MPTCP, layout dei thread Worker), esecuzione di codice.

La correzione upstream è il commit e3f33b0a1d89 ("ipv4: free inet_opt and ireq_opt after an RCU grace period"), che converte entrambe le free in kfree_rcu(). IPv6 non è interessato dal problema principale.

Versioni interessate

Kernel Linux – 4.4 e successive
Corretto in – 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, 7.3-rc7
Ubuntu 20.04 / 18.04 / 16.04 – solo tramite Ubuntu Pro (ESM), se disponibile
RHEL 8 / 9 / 10 – segnalato come "fix deferred" al 2026-10-30
IPv6 – non interessato dal problema principale

Patch

Aggiornare a un kernel pari o superiore alla versione corretta per il proprio ramo.
I kernel delle distribuzioni effettuano backport delle correzioni, quindi non confrontare una versione della distro come 5.15.0-xxx con i numeri upstream. Consultare il security tracker del fornitore.
Se è installato un kernel corretto ma non è in esecuzione, riavviare.
Mitigazione temporanea: scartare i pacchetti TCP IPv4 in ingresso che trasportano opzioni IP. I client normali non inviano opzioni IP, quindi il traffico reale non è interessato.

[!] Osservazioni sul campo

Data	Osservazione	Fonte
2026-11-04	Ubuntu 22.04 LTS (e versioni successive) ha ancora la correzione solo in `-proposed`; gli utenti standard di `-updates` rimangono su un kernel vulnerabile finché la correzione non viene promossa. MPTCP è abilitato per impostazione predefinita sulle release interessate, sebbene il bug non sia specifico di MPTCP.	Ubuntu CVE Tracker · Ubuntu Blog – Fixes in -proposed
2026-11-02	AWS conferma che la vulnerabilità interessa il kernel Linux 4.4+ e che i blueprint Lightsail basati su Ubuntu rientrano nell'ambito; la mitigazione consiste nell'installare un kernel corretto oppure nell'applicare una regola firewall temporanea che scarta i pacchetti TCP IPv4 con opzioni IP.	AWS Docs – Address CVE-2026-98432 on Lightsail
2026-10-15	Annuncio ufficiale della CVE del kernel: la causa principale è l'assenza del periodo di grazia RCU prima di `kfree()` di `inet_opt` / `ireq_opt`; corretto in 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, 7.3-rc7.	Linux CVE Announce – Openwall

Nota: Queste osservazioni confermano l'esposizione (kernel vulnerabile + MPTCP predefinito su Ubuntu standard) e lo stato ufficiale della correzione; non costituiscono una conferma che l'exploit in questo repository sia stato eseguito con successo su un host specifico.

[</>] Strumenti

Strumento	Scopo	Utente previsto
`cve_2026_98432`	Toolkit per red team e blue team. Verifiche del codice sorgente e delle patch a runtime, sonda di rete, race oracle con rilevamento del riutilizzo dei marker, analisi pcap, recupero dello slide KASLR e indicazioni sulle mitigazioni. Comando singolo con menu interattivo o flag dirette.	Red team, blue team, pentester autorizzati
`--check`	Ispezione locale della versione del kernel e dell'albero dei sorgenti.	Blue team, auditor
`--probe`	Conferma che un listener TCP è raggiungibile e che le opzioni SYN IPv4 raggiungono lo stack.	Red team, blue team
`--race`	Race oracle basato su marker. Invia SYN craftati e ispeziona i SYN-ACK per rilevare il riutilizzo dei marker tra flussi.	Red team (Prob)
`--pcap`	Analisi pcap offline. Rileva prove di UAF e candidati puntatori del kernel.	Blue team (Parziale)
`--map`	Recupero dello slide KASLR da puntatori di testo trapelati utilizzando un `System.map`.	Red team (Parziale)
`--harden`	Applica o visualizza in anteprima le mitigazioni (MPTCP disattivato, migrazione disattivata, scarto delle opzioni IP).	Blue team (Prob)

Etichette di affidabilità

Etichetta	Significato
(senza etichetta)	Deterministico. Stesso input, stesso output.
(Prob)	Gli esiti della race possono variare tra un'esecuzione e l'altra. Lo strumento ripete i tentativi per una durata limitata.
(Parziale)	Dipende da un input corretto. Lo strumento funziona quando viene fornito un pcap valido o un `System.map` corrispondente.

Più Popolari

CVE-2026-98432-PoC-Exploit