knneth/cve-2026-98432-dkmsМодуль ядра Ubuntu DKMS, который устраняет CVE-2026-98432 путём отбрасывания IPv4 TCP-пакетов, содержащих IP-опции, через перехватчик netfilter в каждом сетевом пространстве имён.
Пакет DKMS для Ubuntu для ipopt_guard — модуля ядра, который смягчает
CVE-2026-98432, отбрасывая IPv4 TCP-пакеты, содержащие IP-опции. Он регистрирует
хук netfilter в каждом сетевом пространстве имён, поэтому не требует настройки
брандмауэра и не затрагивается nft flush ruleset, firewalld или ufw.
Это смягчение, а не исправление. Удалите пакет, как только все поддерживаемые ядра будут содержать исправление из upstream.
make
Файл .deb записывается в родительский каталог.
Модуль загружается при установке и при загрузке службой cve-2026-98432-dkms.service,
а также пересобирается DKMS для новых ядер при установке их заголовков.
systemctl status cve-2026-98432-dkms # failed = не защищено
cat /sys/module/ipopt_guard/parameters/dropped # отброшено пакетов
journalctl -k --grep ipopt_guard # журнал отбрасывания с ограничением частоты
DKMS пропускает ядра, перечисленные в kernel-is-fixed, а служба не загружается
на них. Перечисленные ядра работают без защиты этого пакета, поэтому указывайте ядро
только после подтверждения, что оно исправлено. Всё, что не указано, сохраняет модуль.
Перед каждым выпуском сверяйте таблицу с https://ubuntu.com/security/CVE-2026-98432. Покрываются Ubuntu 22.04, 24.04 и 26.04.
В Ubuntu 22.04 dkms autoinstall выводит ошибку для пропускаемых ядер. Это
безвредно, так как DKMS 2.8.7 сообщает об исключении так же, как об ошибке. Настоящий
сбой сборки в 22.04 также не приводит к сбою обновления ядра, поэтому полагайтесь на
статус службы для его обнаружения.
ireq_opt, поэтому сайты, использующие его, не защищены. Модуль
также отбрасывает их помеченный TCP-трафик. Отключите отбрасывание командой
echo N > /sys/module/ipopt_guard/parameters/enabled или постоянно с помощью
options ipopt_guard enabled=N в /etc/modprobe.d/.