cve-2026-98432-mitigation

Protezione temporanea dei server Linux: filtro TCP IPv4 mirato, verifica dello stato, backup e rollback. L'audit separa la correzione del kernel dal funzionamento del filtro.

Audit:       работающее ядро → пакет → основание → UNKNOWN при нехватке данных
Protection:  inet + bridge → строгая проверка → откат через 180 секунд
Validation:  обычный TCP / IP options / UDP в отдельном namespace
Monitoring:  проверка по таймеру → журнал ошибок, без изменения firewall

Questa non è una patch del kernel né una garanzia di eliminazione di tutte le varianti di sfruttamento. Lo script installa un filtro di rete ristretto per il noto percorso CVE-2026-98432 basato sulle opzioni TCP/IP IPv4. La correzione definitiva è un kernel con la correzione confermata proprio per questa CVE e il suo caricamento.

L'attualità delle raccomandazioni è stata verificata il 1 novembre 2026. Prima dell'applicazione verificate lo stato aggiornato presso il produttore della vostra distribuzione.

Perché il solo GODEBUG non è sufficiente

Nella dimostrazione di Anthropic è stato utilizzato un listener MPTCP. Il Go Security Team avverte: l'errore stesso si trova nel codice TCP IPv4 comune del kernel, pertanto l'assenza di socket MPTCP non dimostra la sicurezza. GODEBUG=multipathtcp=0 è una limitazione aggiuntiva del noto percorso di attacco, non un sostituto della correzione del kernel.

Questo script non modifica MPTCP, non installa aggiornamenti, non riavvia le applicazioni e non riavvia il server. Il filtro funziona anche per i listener già aperti.

Cosa viene bloccato esattamente

Due tabelle nftables separate:

• inet cve_2026_98432_guard: pacchetti TCP IPv4 con lunghezza dell'intestazione IP maggiore di 20 byte;
• bridge cve_2026_98432_guard: pacchetti analoghi sui bridge.

Il resto del traffico passa oltre verso le regole esistenti. Non c'è un flush ruleset completo, le regole di Docker/Kubernetes/SSH e di altri servizi non vengono sostituite.

Si tratta di filtraggio delle opzioni IPv4, non delle opzioni TCP. I normali TCP timestamps, window scaling, SACK e le connessioni SSH/HTTPS standard non vengono bloccati da questa condizione. Anche il traffico TCP legittimo con opzioni IPv4 verrà scartato: verificate i requisiti della vostra rete.

Installazione supportata

Sono necessari Linux, root, nft, Python 3.8+, Bash e systemd e il supporto nftables inet/bridge nel kernel. Lo script non abilita il servizio firewall della distribuzione e non installa dipendenze. Il controllo --check rileva l'assenza delle capacità necessarie prima dell'applicazione.

Esempio di installazione dello strumento mancante, se ciò è conforme alla politica del server:

# Debian / Ubuntu:
sudo apt-get install nftables python3
# RHEL / Rocky / AlmaLinux:
sudo dnf install nftables python3

OpenWrt, RouterOS, BSD, Windows, vecchi NAS, container senza root/CAP_NET_ADMIN e sistemi senza systemd non sono gestiti da questo installer. Per essi servono istruzioni separate del produttore. Lo script non può essere considerato uno scanner di vulnerabilità universale. Per il profilo manuale Alpine/WSL vedere istruzioni separate.

Prima — l'audit

bash mitigate.sh --audit
sudo bash mitigate.sh --audit --json

L'audit lit uniquement les métadonnées et les configurations. Il ne scanne pas le réseau, ne lance pas d'exploit, ne télécharge pas de mises à jour et ne modifie pas le firewall. Sans root, une partie des résultats sera UNKNOWN. Le rapport peut contenir des noms d'interfaces et des PID ; anonymisez-le avant publication.

Champ JSON	Signification
patch.state	PATCHED, VULNERABLE ou UNKNOWN pour le noyau en cours d'exécution
enforcement.enforcement	ACTIVE_VERIFIED uniquement en cas de correspondance exacte des deux tables
persistence.state	CONFIGURED — unit activé ; un redémarrage réel n'est pas vérifié par cela
coverage.state	PARTIAL_OR_UNKNOWN : namespaces/CNI/NetLabel nécessitent une analyse séparée
rollback_timer, monitor_timer	État du retour arrière automatique et du contrôle optionnel

schema_version: 1. Le code de sortie 0 de --audit signifie que la collecte du rapport est terminée, non l'absence de vulnérabilité. Vérifiez les champs indépendants et reason.

L'évaluation du patch met en correspondance le noyau en cours d'exécution avec le paquet exact. Les vendor-baselines intégrés ont été vérifiés le 01.11.2026 uniquement pour Debian 12/13 : linux 6.1/6.12 et bookworm linux-6.12. Ils sont basés sur le Debian tracker. Pour les autres branches, Ubuntu, WSL et les distributions non vérifiées, le résultat reste UNKNOWN, et n'est pas déduit du numéro uname ou d'une seule mention de CVE dans le changelog. Pour les vendor trackers connus, le rapport contient un lien. Il s'agit d'une confiance dans les métadonnées du paquet, non d'une attestation du binaire ; les custom kernels et livepatch sont vérifiés séparément.

L'audit est limité à 32 netns visibles : il affiche le nombre d'écouteurs MPTCP, mais ne prouve pas la couverture des namespaces. CIPSO reste UNKNOWN en l'absence de données suffisantes ; l'absence de netlabelctl ne prouve pas l'absence de labeling.

Application rapide par l'administrateur

Téléchargez d'abord et lisez le code. N'utilisez pas curl | sudo bash.

git clone https://github.com/ZombiePm/cve-2026-98432-mitigation.git
cd cve-2026-98432-mitigation
less mitigate.sh
sudo bash mitigate.sh --check
sudo bash mitigate.sh --apply

Quando viene rilevato NetLabel/CIPSO o una policy MLS, l'applicazione si interrompe prima delle modifiche all'installazione. Dopo l'analisi di compatibilità, conferma esplicita del rischio:

sudo bash mitigate.sh --apply --accept-ipv4-options-risk

Questo flag accetta il rischio di interrompere il traffico legittimo con IP options, piuttosto che estendere la protezione. Se non vengono trovati indicatori di labeling, la compatibilità viene comunque contrassegnata come UNKNOWN.

Dopo --apply è attivo un rollback automatico dopo 180 secondi. Mantieni aperto il terminale corrente. Apri una nuova connessione SSH al server e verifica i servizi critici dall'esterno: VPN, siti, API, posta, scambio cluster.

Se tutto funziona, dalla nuova connessione:

cd cve-2026-98432-mitigation
sudo bash mitigate.sh --status
sudo bash mitigate.sh --confirm

--confirm annulla il timer di rollback. Senza di esso, la protezione verrà rimossa automaticamente. Dopo la conferma, systemd caricherà il filtro al successivo avvio del server. Non riavviare il server prima della conferma o del rollback manuale.

Applicare un nodo alla volta. Per Kubernetes e i cluster, verificare prima che la connettività sia preservata, poi passare al nodo successivo.

Verifica dello stato

sudo bash mitigate.sh --status
sudo nft list table inet cve_2026_98432_guard
sudo nft list table bridge cve_2026_98432_guard
systemctl status cve-2026-98432-guard.service
journalctl -u cve-2026-98432-guard.service --no-pager

Il contatore packets 0 indica l'assenza di pacchetti corrispondenti, non l'assenza di protezione. Verifica separata dei programmi che utilizzano MPTCP:

sudo ss -Mlnp

Не добавляйте -t, если хотите увидеть только MPTCP: это добавит обычные TCP-сокеты в выборку. Даже пустой вывод MPTCP не подтверждает устранение CVE.