polikhronidi/cve-2026-98432-ubuntu-backportCandidato de backport do Ubuntu 6.8 validado na fonte para a correção upstream de Eric Dumazet para a CVE-2026-98432, com proveniência e CI. Ainda não compilado nem testado em boot.
Status: candidato validado na fonte. Não compilado, não testado em boot, não instalado e não publicado upstream.
Este repositório adapta a correção upstream existente de Eric Dumazet para a árvore de código-fonte exata do Ubuntu Ubuntu-6.8.0-147.147. Não reivindica a descoberta da vulnerabilidade nem a autoria da correção upstream. O autor original e os trailers de revisão/aprovação upstream permanecem no patch. Nenhum sign-off de Developer Certificate of Origin downstream é afirmado em nome de ninguém.
A alteração adia a liberação das opções IPv4 até que um período de carência do RCU tenha decorrido em inet_sock_destruct() e tcp_v4_reqsk_destructor(). Estas são as mesmas duas substituições semânticas do upstream; o contexto do patch foi adaptado para o Ubuntu 6.8.
0495f811cae0b8b7c718d936a2057b25cee7cf0cNo momento da preparação, 2026-10-30, o Ubuntu listava a correção para Noble como trabalho em andamento em 6.8.0-149.149. Consulte o rastreador antes de realizar novos trabalhos; um kernel oficial corrigido pode substituir este candidato.
Requisitos: Python 3.9+, Git e acesso HTTPS ao host oficial de código-fonte do Ubuntu.
python3 tools/check_backport.py
O verificador baixa apenas três arquivos do commit fixado e verifica seus hashes SHA-256 antes de usar um checkout temporário isolado. Ele verifica a aplicação do patch, a presença do campo de callback RCU, as exatas duas substituições no código-fonte, a aplicação reversa e a rejeição de aplicação duplicada. Uma árvore de código-fonte existente pode ser usada sem modificá-la:
python3 tools/check_backport.py --source-dir /path/to/ubuntu-noble
Os hashes de origem restringem intencionalmente esta verificação a uma versão exata. Uma
revisão de kernel diferente exige uma análise separada. git apply --check
não estabelece compatibilidade com o compilador nem segurança em tempo de execução.
O workflow do GitHub Actions incluído valida o código-fonte em pushes e pull
requests relevantes. Pushes relevantes também buscam a árvore completa do Ubuntu fixada, aplicam o
candidato, configuram um kernel x86-64 com MPTCP e compilam as duas unidades de
tradução alteradas. Uma entrada manual Run workflow pode solicitar a mesma compilação.
A execução inicial hospedada não alcançou um runner nem executou qualquer etapa; consulte
VALIDATION.md e a aba Actions do repositório. As verificações locais do código-fonte passaram.
A compilação de dois objetos não é uma compilação completa do kernel nem um teste em tempo de execução.
A instalação em produção está fora do escopo dos scripts deste repositório. Prefira a atualização de segurança oficial do Ubuntu quando ela estiver disponível. A filtragem de rede temporária existente permanece uma medida separada e não é um patch de kernel.
Consulte VALIDATION.md para as verificações exatas concluídas e ausentes. Não há aqui nenhum exploit
nem teste de disparo de condição de corrida. Não estão incluídos IPs de produção, nomes de serviços, credenciais,
dados de clientes, chaves SSH ou logs operacionais.
O licenciamento do patch de kernel e os trailers originais são mantidos do upstream.
O verificador e o workflow são distribuídos sob GPL-2.0-only; o texto da licença
e os metadados de licenciamento do kernel estão em LICENSES/GPL-2.0.txt.