mitigate-cve-2026-98432

Mitigação temporária no Ubuntu/UFW usando Puppet. Descarta pacotes TCP IPv4 que carregam opções IPv4, não opções TCP comuns.

• Rastreador de CVE do Ubuntu
• Red Hat RHSB-2026-016: recomenda a filtragem de opções IPv4 TCP/IP; distingue explicitamente as opções TCP comuns.
• Boletim de segurança da AWS 2026-160: fornece uma regra iptables u32 que filtra comprimentos de cabeçalho IPv4 de 6 a 15.
• Aviso de mitigação da CIQ

Instalação

Escolha a sua opção:

• Se você tiver stdlib disponível, use a versão with-stdlib
• Se você não tiver stdlib disponível, use a versão without-stdlib

Em seguida, declare no catálogo do nó:

class { 'mitigate_cve_2026_98432':
  ensure => 'present',
}

Verificação de sanidade:

sudo ufw status verbose
sudo iptables -S INPUT
sudo iptables -S ufw-before-input

Recarregamentos com falha são repetidos. Cobre apenas o tráfego IPv4 local através desta cadeia; exclui o loopback e não deve afetar contêineres/VMs.

Remover após a aplicação do patch

Primeiro instale e inicialize o kernel corrigido e reinicie.

Para qualquer uma das variantes, substitua a declaração por:

class { 'mitigate_cve_2026_98432':
  ensure => 'absent',
}