CVE-2026-98432 — Сканер уязвимости use-after-free в стеке IPv4 TCP ядра Linux

Инструмент сетевого аудита для Windows и Windows Server, предназначенный для проверки удалённых Linux-хостов на наличие CVE-2026-98432 — критической уязвимости удалённого выполнения кода (RCE) и отказа в обслуживании ядра, затрагивающей сетевой стек IPv4 TCP ядра Linux.

Обзор уязвимости

Метрика	Подробности
CVE ID	CVE-2026-98432
Тип уязвимости	Use-After-Free (UAF) / состояние гонки (CWE-416)
Оценка CVSS v3.1	9.8 (критическая) — `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
Уязвимый компонент	Сетевая подсистема IPv4 ядра Linux (`net/ipv4/tcp_ipv4.c`, `net/ipv4/af_inet.c`)
Уязвимые версии	Версии ядра Linux 4.4 и новее (до исправленных выпусков)
Вектор эксплуатации	Удалённый неаутентифицированный сетевой атакующий, отправляющий специально сформированные пакеты IPv4 TCP SYN с IP-опциями
Воздействие	Удалённое выполнение кода (RCE) в пространстве ядра, крах системы (Kernel Panic / DoS), повреждение памяти

Техническая первопричина

Во время входящего трёхстороннего рукопожатия IPv4 TCP (пакет SYN):

Если запрос на TCP-соединение содержит опции IPv4 (inet_opt и ireq_opt), ядро Linux сохраняет копию этих опций в структуре ожидающего запроса на соединение, чтобы вернуть их в ответе SYN-ACK.
Когда рукопожатие завершается, владение структурой опций передаётся только что созданному дочернему сокету без дублирования.
В уязвимых ядрах деструкторы (inet_sock_destruct() и tcp_v4_reqsk_destructor()) освобождали эти опции немедленно с помощью синхронного kfree().
В условиях состояния гонки (например, при повторных передачах SYN или миграции сокета запроса между ядрами CPU) другое ядро CPU может прочитать структуру опций в момент её освобождения, что приводит к состоянию use-after-free (UAF).

Поскольку этот код выполняется внутри стека TCP ядра до того, как входящий трафик достигает пользовательских приложений, любой прослушиваемый порт IPv4 TCP на сервере подвергает ядро потенциальной удалённой эксплуатации.

Исправленные версии ядра

1. Основные стабильные выпуски

Уязвимость была устранена в upstream-ветке Эриком Дюмазе (Eric Dumazet) (коммит e3f33b0a1d89: "ipv4: free inet_opt and ireq_opt after an RCU grace period"). Минимальные исправленные версии:

Ветка 5.10: 5.10.272 или новее
Ветка 5.15: 5.15.223 или новее
Ветка 6.1: 6.1.190 или новее
Ветка 6.6: 6.6.159 или новее
Ветка 6.12: 6.12.113 или новее
Ветка 6.18: 6.18.56 или новее
Ветка 7.2: 7.2.10 или новее
Ветка 7.3: 7.3.0 или новее

2. Основные дистрибутивы Linux

Ubuntu 24.04 LTS: исправлено в пакете linux версии 6.8.0-149.149 или выше
Ubuntu 22.04 LTS: исправлено в пакете linux версии 5.15.0-203.213 или выше
Ubuntu 26.04 LTS: исправлено в пакете linux версии 7.0.0-43.43 или выше
Ubuntu 26.10: исправлено в пакете linux версии 7.3.0-10.10 или выше
RHEL 8 / 9 / 10 & AlmaLinux / Rocky Linux: исправлено через бюллетени безопасности поставщика (RHSA / ALSA)

Архитектура и возможности инструмента

Сканер обеспечивает неразрушающую и безопасную проверку с любой рабочей станции или сервера Windows:

Шаг 1: Проверка сетевой доступности (ICMP Ping): Подтверждает доступность хоста и сетевую маршрутизацию.
Шаг 2: Высокоскоростной аудит открытых TCP-портов: Использует неблокирующие асинхронные сокеты .NET для проверки стандартных открытых TCP-портов (SSH 22, HTTP 80, HTTPS 443, Alt HTTP 8080/8443, MySQL 3306, PostgreSQL 5432, Redis 6379). Любой открытый IPv4 TCP-порт указывает на то, что стек TCP ядра активно принимает и обрабатывает пакеты.
Шаг 3: Удалённый аудит версии ядра и патчей через SSH: Подключается через нативный Windows OpenSSH (ssh.exe) для безопасного запроса uname -r, /etc/os-release и активных мер защиты брандмауэра без выполнения деструктивных эксплойт-пейлоадов.
Механизм вердикта и оценки:
- VULNERABLE: Хост работает под управлением уязвимой версии ядра без исправления.
- SECURE / PATCHED: Хост работает под управлением пропатченной версии ядра.
- MANUAL VERIFICATION: Пользовательский или вендорский бэкпорт требует ручной проверки.

Как использовать

Вариант 1: Интерактивный запуск (рекомендуется)

Дважды щёлкните check_cve_2026_98432.bat или запустите из CMD:

.\check_cve_2026_98432.bat

Вам будет предложено:

Ввести IP-адрес целевого Linux-сервера (например, 192.168.1.100).
Просмотреть оценку экспонирования портов.
При необходимости пройти аутентификацию по SSH для проверки точной сборки ядра.

Вариант 2: командная строка PowerShell

Полный аудит сети и SSH:

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SshUser "admin"

Пользовательский SSH-порт:

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SshPort 2222 -SshUser "ubuntu"

Только раскрытие сетевых портов (без аутентификации по SSH):

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SkipSsh

Руководство по устранению и смягчению последствий

1. Постоянное устранение (обновление ядра)

Примените официальные обновления безопасности из репозитория вашего дистрибутива и перезагрузите сервер:

Ubuntu / Debian:

sudo apt update
sudo apt --only-upgrade install linux-image-generic
sudo reboot

RHEL / AlmaLinux / Rocky Linux / CentOS:
```
sudo dnf update kernel
sudo reboot
```
Arch Linux:
```
sudo pacman -Syu linux
sudo reboot
```
Проверка текущего работающего ядра:
```
uname -r
```

2. Временное смягчение на уровне межсетевого экрана (если немедленная перезагрузка невозможна)

Уязвимость требует TCP-пакетов, содержащих параметры IPv4. Если вы не можете перезагрузиться немедленно, отбрасывайте все входящие TCP-пакеты, несущие параметры IPv4, с помощью iptables:

# Insert rule at top of INPUT chain
sudo iptables -I INPUT 1 -p tcp -m ipv4options --any-opt -j DROP

# Persist the rule (Debian/Ubuntu)
sudo iptables-save | sudo tee /etc/iptables/rules.v4

# Persist the rule (RHEL/CentOS)
sudo service iptables save

(Примечание: стандартный интернет-трафик TCP редко использует опции IPv4, поэтому их отбрасывание обычно не вызывает нарушений в работе стандартных веб-нагрузок, SSH или баз данных).

Популярное

CVE-2026-98432-scan