Paranoid-CVE-2026-98432

Descarta pacotes TCP IPv4 recebidos cujo cabeçalho IP contenha opções.

Uma solução paliativa pequena e reversível com iptables para a CVE-2026-98432.

Descarta pacotes TCP IPv4 que contenham opções IP no namespace de rede atual. Inclui saída de status clara, comandos de aplicação/remoção repetíveis, um inventário somente leitura, um serviço systemd opcional e uma verificação de conexão separada.

Versão: 1.0.0 · Data de revisão: 30 de outubro de 2026 · Requer: Linux + Bash + iptables

Esta é uma filtragem da comunidade, não uma correção do kernel nem uma solução paliativa completa certificada pelo fornecedor. A presença de uma regra não prova resistência a exploits. Instale um kernel corrigido pelo fornecedor e inicialize nele, ou use um livepatch suportado que cubra explicitamente esta CVE.

Início rápido

Extraia o ZIP, abra um terminal neste diretório e então:

# Read-only inventory; no root required, although visibility may be limited.
bash paranoid-cve98432.sh audit

# Preview the firewall commands; no changes, no root required.
bash paranoid-cve98432.sh apply --dry-run

# Apply the two runtime rules.
sudo bash paranoid-cve98432.sh apply

# Check exact rules and packet counters.
sudo bash paranoid-cve98432.sh status

Mantenha sua sessão SSH aberta e confirme que uma segunda conexão SSH e seus serviços normais ainda funcionam. Clientes que exigem opções de IP IPv4 podem ser afetados.

Desfazer:

sudo bash paranoid-cve98432.sh remove

Apenas as regras exatas marcadas desta ferramenta são removidas. Outras regras de firewall e todas as configurações de sysctl são preservadas. Regras que você instalou manualmente antes, incluindo a regra sem marcação da nossa conversa, não são removidas nem adotadas.

Requisitos

Dependência	Finalidade
Bash	Ambiente de execução do script
iptables com a tabela raw de IPv4, correspondências u32 e comment	Filtragem de pacotes
Root e CAP_NET_ADMIN	Aplicar, consultar status e remover
flock, stat, mkdir	Serializar alterações usando um diretório privado em /run
iproute2 (ss)	Inventário opcional de listeners
Python 3.8+	Auxiliar opcional de verificação
Python 3.9+	Suíte de testes offline
systemd	Apenas persistência opcional na inicialização

Pacotes típicos no Ubuntu/Debian:

sudo apt install iptables util-linux iproute2 python3

Em sistemas da família RHEL, o pacote que fornece o comando iptables varia conforme a versão. Verifique com dnf provides '*/iptables'. Esta ferramenta não instala pacotes nem altera o backend do iptables selecionado.

Algumas instalações do iptables-nft não suportam u32 na configuração atual. Se a inserção falhar, a ferramenta reporta um erro e reverte suas novas regras. Não troque o backend do firewall às cegas em um servidor em execução; use um equivalente nativo do nftables integrado ao seu firewall existente.

O que ele instala

Estas regras exatas, com um comentário usado para identificá-las:

iptables -w 10 -t raw -I PREROUTING 1 -p tcp \
  -m u32 --u32 '0>>24&0x0F=6:15' \
  -m comment --comment 'cve98432-guard:v1' -j DROP

iptables -w 10 -t raw -I OUTPUT 1 -p tcp \
  -m u32 --u32 '0>>24&0x0F=6:15' \
  -m comment --comment 'cve98432-guard:v1' -j DROP

O primeiro byte de um cabeçalho IPv4 contém a versão e o Internet Header Length (IHL). Cinco palavras de 32 bits correspondem a um cabeçalho normal de 20 bytes. IHL 6–15 significa que existem opções IP. u32 lê esse campo diretamente.

• PREROUTING filtra o tráfego TCP IPv4 que chega antes da entrega aos listeners.
• OUTPUT também filtra o tráfego gerado localmente, incluindo tentativas de alcançar listeners locais. Também pode descartar respostas de saída que carregam opções IP.
• As regras inspecionam cada pacote TCP IPv4 correspondente, não apenas pacotes SYN. Elas não dependem de localizar flags TCP em um pacote potencialmente fragmentado.
• Elas não limpam tabelas, não alteram políticas padrão, não mudam portas, não bloqueiam endereços IP, não desativam IPv6 nem alteram opções TCP comuns como SACK, timestamps e window scaling.

Estas são opções IP de IPv4, um campo de cabeçalho diferente das opções TCP. SSH normal, HTTPS e outro tráfego sem opções IP está fora da correspondência.

Aplicar duas vezes não adiciona mais cópias. Se a segunda inserção falhar, apenas as regras tentadas por essa invocação são revertidas; regras exatas pré-existentes são mantidas. remove também limpa duplicatas das regras exatas desta ferramenta. Invocações concorrentes desta ferramenta são serializadas. Um gerenciador de firewall não relacionado ainda pode alterar as regras ao mesmo tempo.

Por que isso ajuda, e onde para

O aviso upstream descreve um use-after-free de opções de requisição/socket IPv4 enquanto um SYN-ACK está sendo construído ou uma requisição é migrada. A correção altera dois destrutores para adiar a liberação via RCU.

Filtrar pacotes de entrada com opções IP impede que as opções usuais fornecidas pelo pacote alcancem o TCP nos caminhos cobertos por esses hooks. Essa é a base para esta medida paliativa. É uma mitigação baseada em análise, não uma reprodução de um exploit completo nem uma garantia contra todas as rotas para o código vulnerável.

Verifique estes limites:

Situação	Limite / ação
Contêineres, namespaces de rede, namespaces de VPN	As regras são por namespace. Regras do host não cobrem tráfego confinado a outro namespace. Inspecione e aplique dentro de cada namespace relevante. Contêineres compartilham o kernel do host.
Bridges Linux / encaminhamento de camada 2	Estas regras IPv4 não são uma política de bridge completa. Garanta que os namespaces de destino estejam cobertos; use regras da família bridge se esse caminho de encaminhamento precisar de filtragem.
Túneis	Confirme a filtragem no caminho IPv4 interno decodificado. Um pacote externo criptografado não expõe opções IP internas ao filtro externo.
NetLabel / CIPSO com SELinux ou Smack	O CIPSO pode preencher opções de requisição por meio de um caminho de rotulagem do kernel. Não trate a filtragem de cabeçalhos de entrada como cobertura para esse caminho. O SELinux estar habilitado por si só não prova que o CIPSO está configurado.
Sockets existentes ou requisições pendentes	Adicionar um filtro não é uma limpeza nem um patch de objetos do kernel já criados.
Recarregamentos de firewall	Um recarregamento, restauração, orquestrador de contêineres ou administrador pode remover/reordenar regras. Verifique novamente o status e reaplique.
Regras de terminação anteriores na tabela raw	As novas regras vão na posição 1, mas alterações posteriores de regras podem colocar uma regra de terminação à frente delas. Inspecione a ordem.
Um cliente que exige opções IP	Suas conexões podem parar de funcionar. Isso inclui implantações especializadas de rotulagem de segurança.
IPv6	Estas regras não filtram IPv6 nem tratam de problemas de migração IPv6/CALIPSO rastreados separadamente.

Não há afirmação automática de que o kernel está corrigido com base em uma string de versão, uma menção no changelog, saída vazia de listener ou um contador de pacotes zerado. Kernels de fornecedores fazem backport de correções e têm variantes separadas genéricas, cloud, HWE e outras. Um novo kernel instalado não é necessariamente o kernel em execução.

MPTCP: endurecimento extra útil, não a correção

O relatório da Anthropic de 27 de outubro descreve um exploit de root remoto contra um servidor com um listener MPTCP. O aviso subjacente descreve uma corrida TCP IPv4 que não se limita ao MPTCP. Ambos os fatos importam.

Se suas aplicações não precisam de MPTCP, você pode desativar separadamente novos sockets MPTCP:

# Record the current value before changing it.
sysctl net.mptcp.enabled
sudo sysctl -w net.mptcp.enabled=0