cve-2026-98432-dkms

ipopt_guard용 Ubuntu DKMS 패키지로, IP 옵션을 포함한 IPv4 TCP 패킷을 드롭하여 CVE-2026-98432를 완화하는 커널 모듈입니다. 모든 네트워크 네임스페이스에 netfilter 훅을 등록하므로 방화벽 구성이 필요 없으며 nft flush ruleset, firewalld 또는 ufw의 영향을 받지 않습니다.

이는 완화 조치이며 수정이 아닙니다. 지원되는 모든 커널에 업스트림 수정이 포함되면 패키지를 제거하십시오.

빌드

make

.deb는 상위 디렉터리에 생성됩니다.

동작

모듈은 설치 시 및 부팅 시 cve-2026-98432-dkms.service에 의해 로드되며, 새 커널의 헤더가 설치되면 DKMS가 해당 커널용으로 다시 빌드합니다.

systemctl status cve-2026-98432-dkms              # failed = 보호되지 않음
cat /sys/module/ipopt_guard/parameters/dropped    # 드롭된 패킷 수
journalctl -k --grep ipopt_guard                  # 속도 제한된 드롭 로그

수정된 커널

DKMS는 kernel-is-fixed에 나열된 커널을 건너뛰며, 서비스는 해당 커널에서 로드를 건너뜁니다. 나열된 커널은 이 패키지의 보호 없이 실행되므로, 수정이 확인된 커널만 나열하십시오. 나열되지 않은 커널은 모듈을 유지합니다.

각 릴리스 전에 표를 https://ubuntu.com/security/CVE-2026-98432와 비교하십시오. Ubuntu 22.04, 24.04 및 26.04가 지원됩니다.

Ubuntu 22.04에서는 dkms autoinstall이 건너뛴 커널에 대해 오류를 출력합니다. DKMS 2.8.7이 제외를 실패와 동일한 방식으로 보고하기 때문에 이는 무해합니다. 22.04에서는 실제 빌드 실패도 커널 업그레이드를 실패시키지 않으므로, 이를 감지하려면 서비스 상태에 의존하십시오.

알려진 제한 사항

• CIPSO는 ireq_opt를 자체적으로 설정하므로, 이를 사용하는 사이트는 보호되지 않습니다. 또한 이 모듈은 해당 사이트의 레이블이 지정된 TCP 트래픽도 드롭합니다. echo N > /sys/module/ipopt_guard/parameters/enabled로 드롭을 끄거나, /etc/modprobe.d/에 options ipopt_guard enabled=N을 설정하여 영구적으로 끄십시오.
• 드롭은 송신자에게 조용히 이루어집니다. TCP reset이나 ICMP 오류가 반환되지 않습니다.
• Secure Boot 시스템에서는 DKMS 서명 키를 등록해야 하며, 그렇지 않으면 모듈이 로드되지 않습니다.