cve-2026-98432-dkms

ipopt_guard 用の Ubuntu DKMS パッケージです。これは、IP オプションを含む IPv4 TCP パケットを破棄することで CVE-2026-98432 を緩和するカーネルモジュールです。すべてのネットワーク名前空間に netfilter フックを登録するため、ファイアウォール設定は不要で、nft flush ruleset、firewalld、ufw の影響も受けません。

これは緩和策であり、修正ではありません。サポート対象のすべてのカーネルにアップストリームの修正が含まれたら、このパッケージを削除してください。

ビルド

make

.deb は親ディレクトリに出力されます。

動作

モジュールはインストール時および起動時に cve-2026-98432-dkms.service によってロードされ、新しいカーネルのヘッダーがインストールされると DKMS によって再ビルドされます。

systemctl status cve-2026-98432-dkms              # failed = 保護されていない
cat /sys/module/ipopt_guard/parameters/dropped    # 破棄されたパケット数
journalctl -k --grep ipopt_guard                  # レート制限された破棄ログ

修正済みカーネル

DKMS は kernel-is-fixed に記載されたカーネルをスキップし、サービスもそれらのカーネルではロードをスキップします。記載されたカーネルはこのパッケージによる保護なしで動作するため、修正済みであることを確認したカーネルのみを記載してください。記載されていないカーネルはモジュールを維持します。

各リリース前に、この表を https://ubuntu.com/security/CVE-2026-98432 と比較してください。Ubuntu 22.04、24.04、26.04 が対象です。

Ubuntu 22.04 では、スキップされたカーネルに対して dkms autoinstall がエラーを出力します。DKMS 2.8.7 は除外を失敗と同じ方法で報告するため、これは無害です。22.04 では実際のビルド失敗もカーネルアップグレードを失敗させないため、検出にはサービスのステータスに頼ってください。

既知の制限

• CIPSO は ireq_opt を自身で設定するため、これを使用しているサイトは保護されません。また、このモジュールはそれらのラベル付き TCP トラフィックも破棄します。破棄を無効にするには echo N > /sys/module/ipopt_guard/parameters/enabled を実行するか、/etc/modprobe.d/ に options ipopt_guard enabled=N を設定して永続化してください。
• 破棄は送信者に対してサイレントです。TCP リセットや ICMP エラーは返されません。
• Secure Boot システムでは DKMS 署名鍵を登録する必要があります。登録しない場合、モジュールはロードされません。