cve-2026-98432-dkms

用于 ipopt_guard 的 Ubuntu DKMS 软件包，ipopt_guard 是一个内核模块，通过丢弃携带 IP 选项的 IPv4 TCP 数据包来缓解 CVE-2026-98432。它在每个网络命名空间中注册 netfilter 钩子，因此无需防火墙 配置，也不受 nft flush ruleset、firewalld 或 ufw 的影响。

这是一种缓解措施，而非修复。一旦所有受支持的内核 都包含上游修复，请移除此软件包。

构建

make

.deb 会写入父目录。

运行

该模块在安装时以及启动时由 cve-2026-98432-dkms.service 加载， 并在安装新内核的头文件后由 DKMS 为新内核重新构建。

systemctl status cve-2026-98432-dkms              # failed = 未受保护
cat /sys/module/ipopt_guard/parameters/dropped    # 已丢弃的数据包
journalctl -k --grep ipopt_guard                  # 限速的丢弃日志

已修复的内核

DKMS 会跳过 kernel-is-fixed 中列出的内核，服务也会在这些内核上跳过加载。 列出的内核在此软件包下不受保护地运行，因此只有在确认内核 已修复后才将其列出。未列出的内核会保留该模块。

每次发布前，请将表格与 https://ubuntu.com/security/CVE-2026-98432 进行比对。涵盖 Ubuntu 22.04、24.04 和 26.04。

在 Ubuntu 22.04 上，dkms autoinstall 会为被跳过的内核打印错误。这 是无害的，因为 DKMS 2.8.7 报告排除的方式与报告失败相同。在 22.04 上， 真正的构建失败也不会导致内核升级失败，因此请依赖 服务状态来检测它。

已知限制

• CIPSO 会自行设置 ireq_opt，因此使用它的站点不受保护。该模块 还会丢弃它们带标签的 TCP 流量。可通过 echo N > /sys/module/ipopt_guard/parameters/enabled 关闭丢弃，或通过在 /etc/modprobe.d/ 中 设置 options ipopt_guard enabled=N 来持久关闭。
• 丢弃对发送方是静默的：不会返回 TCP 重置或 ICMP 错误。
• Secure Boot 系统需要注册 DKMS 签名密钥，否则模块将 无法加载。